Data Domain – FIPS-määritys ja parhaat käytännöt

authorization policy set security-officer enabled

# system fips-mode disable
# system fips-mode enable

The DD file system, SMS, Apache HTTP service, LDAP client, and SSH Daemon use FIPS 140-2 compliant algorithms when FIPS is enabled.
To enable FIPS compliance mode, run the following command: system fips-mode enable.
NOTE: Enabling or disabling FIPS compliance mode results in a system reboot and interrupts any ongoing backup or replication activities.
NOTE: Enabling FIPS mode invalidates all local users passwords. The passwords for sysadmin and one of the security officers are forced to change during enabling FIPS mode. 
The other local users require sysadmin to change their passwords for them by running user change password.
NOTE: All backup application using DD local users must restart the backups using new DD local user passwords. This is applicable for all protocols.
DDOS uses FIPS certified libraries including Dell OpenSSL Cryptographic Library, BSafe, Crypto J, Cert-J, and SSL-K.
● Dell OpenSSL Cryptographic Library v2.5
● EMC Crypto-C Micro Edition 4.1.4 cryptographic module
To disable FIPS compliance mode, run the following command: system fips-mode disable.

SSH-salaukset, MAC:t ja avaintenvaihtoalgoritmit

Kun FIPS on käytössä:
● Vain FIPS 140-2 -hyväksyttyjä SSH-salauksia ja MAC-tiedostoja voidaan asettaa. Käyttäjäroolit järjestelmänvalvoja ja rajoitettu järjestelmänvalvoja voivat määrittää salaukset ja
MAC:t, jotka voidaan määrittää seuraavalla komennolla: adminaccess ssh option set ciphers
● SSHD-määritystiedostojoukkojen salausluettelo, MAC-luettelo ja KEX (avaintenvaihtoalgoritmit) -luettelo FIPS-yhteensopivien salausten, MAC:ien ja KEX:ien
oletusluetteloon. Vanhat asetukset menetetään.
Kun FIPS-yhteensopivuustila on pois käytöstä, SSHD-kokoonpanon
tiedostojoukkojen salausluettelo, MAC-luettelo ja KEX (avaintenvaihtoalgoritmit) luetellaan järjestelmän oletussalausten, MAC:ien ja KEX:ien luettelossa. Vanhat asetukset menetetään.

Seuraavia salauksia tuetaan järjestelmissä tai DDVE:ssä, joissa on käytössä DDOS, jossa FIPS on käytössä:Ciphers,
MACs ja Key Exchange -algoritmit

The cipher list can always be changed by running the adminaccess ssh options set ciphers command. 
When FIPS is enabled, users can only configure SSH service to use FIPS complaint SSH ciphers. 
If non-FIPS compliant ciphers are used, user would see an error. 

The MAC list can always be changed by running the adminaccess ssh options set macs command. 
When FIPS is enabled, users can only configure SSH service to use FIPS complaint SSH macs. 
If non-FIPS compliant macs are used, user would see an error.

HTTPS

HTTPS Apache -palvelu käyttää samaa salausluetteloa kuin tekstiviestit.

Tallennetun tiedon salaus

Jos tallennettujen tietojen salaus on käytössä, se on oletusarvoisesti FIPS-yhteensopiva.

TLS cipher-list for management communications and replication control path
In case of replication, data-path is FIPS-compliant when it is enabled with two-way authentication. If FIPS mode is enabled on
the destination DD system, then Replication will not be allowed from DD systems running DDOS versions prior to DDOS 7.0.
When FIPS mode is enabled, even if other ciphers were set with the adminaccess option set cipher-list command,
DDOS only uses FIPS-compliant ciphers for the following communication interfaces:
● For DDMC communications to managed DD-systems
● For Replication control path
● By the Data Domain System Management (GUI)
● For REST APIs
The cipher list can be configured with the adminaccess option set cipher-list command.

When FIPS is enabled, the LDAP client that runs on a system or DDVE must use TLS.
# authentication ldap ssl enable method start_tls
Otherwise, enabling FIPS compliance mode fails.
On a fresh install and upgrade, LDAP SSL ciphers are not explicitly set.
When FIPS compliance mode is enabled, the LDAP SSL ciphers are set to the following:

● ECDHE-RSA-AES256-GCM-SHA384
● ECDHE-RSA-AES256-SHA384
● DHE-RSA-AES256-GCM-SHA384
● DHE-RSA-AES256-SHA256
● AES256-GCM-SHA384
● AES256-SHA256
● ECDHE-RSA-AES128-GCM-SHA256
● ECDHE-RSA-AES128-SHA256
● DHE-RSA-AES128-GCM-SHA256
● DHE-RSA-AES128-SHA256
● AES128-GCM-SHA256
● AES128-SHA256

The configured cipher-list should be:
ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSAAES256-SHA256:AES256-GCM-SHA384:AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSAAES128-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:AES128-GCM-SHA256:AES128-
SHA256
When FIPS is disabled, it is set to "", an empty string.

● The DD Boost client on that operating system must be version >=7.1.
● The password hash for users on all DD systems that this client connects to must be sha512. 
   This can be changed using the adminaccess option set password-hash sha512 CLI.

Jos FIPS-tila on käytössä käyttöjärjestelmässä ilman kumpaakaan edellä mainituista määrityksistä, kaikki yhteydet tästä asiakkaasta DD-järjestelmään epäonnistuvat.

DD Boost Client, kun FIPS-tila on käytössä

Kun FIPS-tila on käytössä järjestelmässä, järjestelmää DD Boost -protokollan kautta käyttävien sovellusten on käytettävä DD Boost -asiakaskirjastojen versiota 7.3. Tämä takaa, että toiminta on FIPS-yhteensopivaa ja käyttää FIPS-yhteensopivia algoritmeja. Joskus sovellus saattaa saada DD Boost -asiakaskirjastot siirtymään FIPS-tilaan, jos sovellus tietää FIPS-tilasta ja se on päivitetty siirtymään FIPS-tilaan asiakaskirjastossa. Tällöin käytetään FIPS-yhteensopivia algoritmeja, mutta myös näiden algoritmien toteutuksissa käytetään FIPS-sertifioituja kirjastoja.

Kun FIPS-tila on käytössä, DD Boostin järjestelmään pääsyyn käyttämälle järjestelmälle asetetuissa salasanoissa on oltava SHA512-hajautusarvo. Käyttäjä, jonka salasanassa on MD5-hajautusarvo, ei voi muodostaa yhteyttä FIPS-yhteensopivaan järjestelmään.

MUISTIINPANO: Sovelluksen käyttämän Boost-asiakaskirjaston version =7.1 on oltava versiossa >=7.1, jotta sovellus voi muodostaa yhteyden DD-järjestelmään, jossa on DDOS-versio >=7.1 ja jossa FIPS-tila on käytössä. Sovelluksen mukana toimitettavan DD Boost -asiakaskirjaston version määrittää sovellustoimittaja. Luettelo kaikista Boost-asiakkaista, jotka ovat muodostaneet yhteyden DD-järjestelmään viimeisen 24 tunnin aikana, on saatavilla ddboost show connections -komentoriviliittymässä. Laajennuksen versio -sarakkeen tulisi näkyä, jotta voidaan selvittää, onko jokin asiakas, jonka Boost-laajennus on vanhempi kuin 7.1.x.x, muodostamassa yhteyttä tähän DD-järjestelmään. Kaikki tällaiset asiakkaat eivät muodosta yhteyttä sen jälkeen, kun FIPS-tila on otettu käyttöön DD-järjestelmässä, ja ne on päivitettävä. Tarkista sovelluksen valmistajalta, mitä DD Boost -asiakaskirjastoversiota tietty sovellusversio käyttää, jotta näet, voiko sovellusta käyttää DD-järjestelmässä, jossa FIPS-tila on käytössä.

Telnet
Telnet ei ole FIPS-yhteensopiva, ja se on oletusarvoisesti poissa käytöstä.

FTP/FTPS
FTP/FTPS ei ole FIPS-yhteensopiva, ja se on oletusarvoisesti poissa käytöstä.

Active Directory
Active Directory ei ole FIPS-yhteensopiva.
Active Directory toimii edelleen, kun se on määritetty ja kun FIPS on käytössä.

DDOS:n CIFS
CIFS -palvelin on FIPS-tila-asetuksen agnostinen. Vaikka asiakas ottaisi FIPS-tilan käyttöön, CIFS toimii edelleen tilassa, joka
ei ole FIPS-yhteensopiva.
Voit estää tai estää CIFS:ää hyväksymästä yhteyksiä asiakkailta seuraavasti:sysadmin@localhost#

cifs disable

NFS
NFS ei ole FIPS-yhteensopiva.
● NFS toimii edelleen ei-FIPS-yhteensopivassa tilassa.
● NFS voidaan poistaa käytöstä nfs disable -komennolla.

Varmistetun yhteyden välityspalvelin (SCG)
SCG on suojattu kaksisuuntainen yhteys Dell EMC -tuotteiden ja Dell EMC:n asiakastuen välillä. SCG on oletusarvoisesti poissa käytöstä ja toimii edelleen ei-FIPS-yhteensopivassa tilassa.

DISA STIG -standardit

Järjestelmän on käytettävä FIPS 140-2 -hyväksyttyä salausta
Hajautusalgoritmi tilin salasanatiivisteiden luomiseksi.
Järjestelmien on käytettävä salasanojen salaustiivisteitä
käyttämällä SHA-2-algoritmiperhettä tai FIPS 140-2 -hyväksyttyä
Seuraajat. Hyväksymättömien algoritmien käyttö voi johtaa
Heikot salasanat hajauttavat alttiimpia vaarantumiselle.

HUOMAUTUS: DDOS Command Reference Guide -oppaassa kerrotaan, miten 

adminaccess option set password-hash {md5 | sha512}

komento, jolla määritetään FIPS 140-2 -hyväksytty kryptografinen hajautus järjestelmässä. 

Hajautusalgoritmin muuttaminen ei muutu
olemassa olevien salasanojen hajautusarvo. Kaikki olemassa olevat
MD5:llä hajautetuissa salasanoissa on edelleen MD5
Hajautusarvot salasanan hajautusalgoritmin muuttamisen jälkeen
SHA512:een. Nämä salasanat on nollattava niin, että uusi
SHA512-hajautusarvo lasketaan.

Ulkoisesti allekirjoitetut varmenteet
Varmenteen myöntäjä (CA) on julkisen varmenteen (PEM) muodossa, joka luo luotetun yhteyden ulkoisen tahon ja kunkin järjestelmän välille.
Jos järjestelmä käyttää ulkoisten avainten hallintaa, se tarvitsee PKCS12-isäntävarmenteen ja CA-varmenteen PEM (public key) -muodossa, jotta voidaan muodostaa luotettava yhteys ulkoisen avainten hallintapalvelimen ja kunkin sen hallinnoiman järjestelmän välille.
Varmenteen allekirjoitus vaatii PKCS10-muodon. Julkisen varmenteen avaimen muoto voi olla joko PKCS12 (julkinen ja yksityinen avain) tai PEM. Isäntävarmenteen PEM-muotoa käytetään vain varmenteen allekirjoituspyyntö (CSR) -ominaisuuden kanssa.
Yksittäisiä isäntävarmenteita voidaan tuoda HTTPS:ää ja ulkoisen avainten hallinnan kanssa käytävää viestintää varten.
Isäntävarmenteen tuontia PKCS12-muodossa tuetaan. Jos järjestelmässä on CSR, voit tuoda isäntävarmenteen PEM-muodossa sen jälkeen, kun varmenteen myöntäjä on allekirjoittanut CSR:n.
MUISTIINPANO: Varmenteen tuominen edellyttää järjestelmän salasanaa.
FIPS-yhteensopivassa DD-järjestelmässä PKCS12-tiedoston on oltava FIPS-yhteensopiva. PKCS12-tiedoston salauksessa on käytettävä yhteensopivia salausalgoritmeja. Suosittelemme käyttämään PBE-SHA1-3DES-tiedostoa PKCS12-tiedoston avaimen ja varmenteen salaamiseen.

DD-salaus mahdollistaa sisäisen salauksen, mikä tarkoittaa, että kun tietoja käsitellään, tietovirta poistetaan, pakataan ja salataan salausavaimella ennen sen kirjoittamista RAID-ryhmään. DD Encryption -ohjelmisto käyttää RSA BSAFE -kirjastoja, jotka ovat FIPS 140-2 -validoituja.

Varmistetun yhteyden välityspalvelin (SCG)
Varmistetun yhteyden välityspalvelin on IP-pohjainen automaattinen koti- ja etätukiratkaisu, joka luo sekä yhtenäisen arkkitehtuurin että yhteisen käyttöpisteen tuotteessa suoritettaville etätukitoiminnoille. SCG IP -
ratkaisu tekee seuraavaa:
● Tarjoaa pienten laitteisto-ongelmien jatkuvan seurannan, diagnoosin ja korjauksen.
● Käyttää edistyneintä salausta, todennusta, tarkastusta ja valtuutusta erittäin korkean turvallisuuden etätukeen.
● Huolehtii yrityksen ja hallituksen määräysten noudattamisesta toimittamalla lokit kaikista käyttötapahtumista.
● Tarjoaa helpon integroinnin ja konfiguroinnin tallennustilan hallintaverkon ja palomuurien kanssa.
● Tarjoaa maksimaalisen tietoinfrastruktuurin suojauksen. IP-pohjaiset istunnot mahdollistavat nopean tiedonsiirron ja resoluution.
● Yhdistä tietojen etätuki SCG-asiakkaaseen.
● Tarjoaa etäyhteyden katastrofista palautumisen sivustoon ja tekee toipumisesta suunnittelemattomista tapahtumista saumattoman.
● Suojaa liikkeessä tai levossa olevia tietoja. AES 256 -salaus tiedonsiirron aikana suojaa tietoja.
● Vähentää kustannuksia ja datakeskuksen sotkua ja nopeuttaa ratkaisuaikaa. Modeemi-/puhelinlinjakustannusten poistuminen tarkoittaa alhaisempia kustannuksia.
MUISTIINPANO: SCG ei ole FIPS-yhteensopiva.
MUISTIINPANO: FTP:n tai suojaamattoman sähköpostin käyttö SCG-yhteyden muodostamisen aikana voi olla tietoturvariski.

Pilviyksikön lisääminen Amazon Web Services S3

AWS:ään tarjoaa erilaisia tallennusluokkia. E-Lab Navigatorista saatavilla oleva Cloud Providers Compatibility Matrix tarjoaa ajantasaista tietoa tuetuista tallennusluokista.

Tietoja tästä tehtävästä
Tietoturvan parantamiseksi Cloud Tier -ominaisuus käyttää allekirjoitusversiota 4 kaikille AWS-pyynnöille. Allekirjoituksen version 4 allekirjoitus on oletusarvoisesti käytössä.
AWS-pilvipalvelujen tarjoaja käyttää seuraavia päätepisteitä tallennusluokan ja alueen mukaan. Varmista ennen pilviyksiköiden määrittämistä, että DNS pystyy selvittämään nämä isäntänimet.

FIPS-yhteensopivat päätepisteet ovat saatavilla AWS Government Cloudille.

DDOS 7.8 -versiosta alkaen us-east-1-alue ei enää tue vanhoja päätepisteitä s3.amazonaws.com. US-East-1-alue vaatii nyt päätepisteen s3.us-east-1.amazonaws.com. Varmista ennen DDOS 7.8 -päivitystä, että palomuuri on auki, jotta pääset uuteen päätepisteeseen.

S3.FIPS.us-gov-west-1.amazonaws.com