Data Domain - FIPS yapılandırması ve en iyi uygulamalar

authorization policy set security-officer enabled

# system fips-mode disable
# system fips-mode enable

The DD file system, SMS, Apache HTTP service, LDAP client, and SSH Daemon use FIPS 140-2 compliant algorithms when FIPS is enabled.
To enable FIPS compliance mode, run the following command: system fips-mode enable.
NOTE: Enabling or disabling FIPS compliance mode results in a system reboot and interrupts any ongoing backup or replication activities.
NOTE: Enabling FIPS mode invalidates all local users passwords. The passwords for sysadmin and one of the security officers are forced to change during enabling FIPS mode. 
The other local users require sysadmin to change their passwords for them by running user change password.
NOTE: All backup application using DD local users must restart the backups using new DD local user passwords. This is applicable for all protocols.
DDOS uses FIPS certified libraries including Dell OpenSSL Cryptographic Library, BSafe, Crypto J, Cert-J, and SSL-K.
● Dell OpenSSL Cryptographic Library v2.5
● EMC Crypto-C Micro Edition 4.1.4 cryptographic module
To disable FIPS compliance mode, run the following command: system fips-mode disable.

SSH şifreleri, MAC'ler ve anahtar değişim algoritmaları

FIPS etkinleştirildiğinde:
● Yalnızca FIPS 140-2 onaylı SSH şifreleri ve MAC'leri ayarlanabilir. Kullanıcı rolleri "admin" ve "limited-admin", aşağıdaki komut kullanılarak yapılandırılabilen şifreleri ve
MAC'leri ayarlayabilir: adminaccess ssh option set ciphers
● SSHD yapılandırma dosyasındaki şifre listesi, MAC listesi ve KEX (anahtar değişim algoritmaları) listesi
FIPS uyumlu şifreler, MAC'ler ve KEX'lerin varsayılan listesine ayarlanır. Eski ayarlar kaybolur.
FIPS uyumluluk modu devre dışı bırakıldığında SSHD yapılandırma dosyasındaki şifre listesi, MAC listesi ve
KEX (anahtar değişim algoritmaları) listesi sistemin varsayılan şifreler, MAC'ler ve KEX'ler listesine ayarlanır. Eski ayarlar kaybolur.

Aşağıdaki şifreler sistemlerde veya FIPS etkinleştirilmiş DDOS çalıştıran DDVE'de desteklenir:
Şifreler, MAC'ler ve anahtar değişim algoritmaları

The cipher list can always be changed by running the adminaccess ssh options set ciphers command. 
When FIPS is enabled, users can only configure SSH service to use FIPS complaint SSH ciphers. 
If non-FIPS compliant ciphers are used, user would see an error. 

The MAC list can always be changed by running the adminaccess ssh options set macs command. 
When FIPS is enabled, users can only configure SSH service to use FIPS complaint SSH macs. 
If non-FIPS compliant macs are used, user would see an error.

HTTPS

HTTPS Apache hizmeti SMS ile aynı şifre listesini kullanır.

Bekleyen veri şifreleme

Bekleyen Veri Şifreleme etkinleştirilmişse varsayılan olarak FIPS uyumludur.

TLS cipher-list for management communications and replication control path
In case of replication, data-path is FIPS-compliant when it is enabled with two-way authentication. If FIPS mode is enabled on
the destination DD system, then Replication will not be allowed from DD systems running DDOS versions prior to DDOS 7.0.
When FIPS mode is enabled, even if other ciphers were set with the adminaccess option set cipher-list command,
DDOS only uses FIPS-compliant ciphers for the following communication interfaces:
● For DDMC communications to managed DD-systems
● For Replication control path
● By the Data Domain System Management (GUI)
● For REST APIs
The cipher list can be configured with the adminaccess option set cipher-list command.

When FIPS is enabled, the LDAP client that runs on a system or DDVE must use TLS.
# authentication ldap ssl enable method start_tls
Otherwise, enabling FIPS compliance mode fails.
On a fresh install and upgrade, LDAP SSL ciphers are not explicitly set.
When FIPS compliance mode is enabled, the LDAP SSL ciphers are set to the following:

● ECDHE-RSA-AES256-GCM-SHA384
● ECDHE-RSA-AES256-SHA384
● DHE-RSA-AES256-GCM-SHA384
● DHE-RSA-AES256-SHA256
● AES256-GCM-SHA384
● AES256-SHA256
● ECDHE-RSA-AES128-GCM-SHA256
● ECDHE-RSA-AES128-SHA256
● DHE-RSA-AES128-GCM-SHA256
● DHE-RSA-AES128-SHA256
● AES128-GCM-SHA256
● AES128-SHA256

The configured cipher-list should be:
ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSAAES256-SHA256:AES256-GCM-SHA384:AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSAAES128-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:AES128-GCM-SHA256:AES128-
SHA256
When FIPS is disabled, it is set to "", an empty string.

● The DD Boost client on that operating system must be version >=7.1.
● The password hash for users on all DD systems that this client connects to must be sha512. 
   This can be changed using the adminaccess option set password-hash sha512 CLI.

Yukarıdaki yapılandırmalardan herhangi biri olmadan işletim sisteminde FIPS modu etkinleştirilirse bu istemciden herhangi bir DD sistemine yapılan tüm bağlantılar başarısız olur.

FIPS modu etkinleştirilmiş DD Boost İstemcisi

Sistemde FIPS modu etkinleştirildiğinde DD Boost protokolünü kullanarak sisteme erişen uygulamalar DD Boost istemci kitaplıklarının 7.3 sürümünü kullanmalıdır. Bu, işlemlerin FIPS uyumlu olmasını ve FIPS uyumlu algoritmalar kullanmasını garanti eder. Bazı durumlarda uygulama FIPS farkındalığına sahipse ve istemci kütüphanesinde FIPS moduna girecek şekilde güncelleştirilmişse uygulama DD Boost istemci kütüphanelerinin FIPS moduna girmesine neden olabilir. Bu durumda sadece FIPS uyumlu algoritmalar kullanılmakla kalmaz, aynı zamanda bu algoritmaların uygulamaları FIPS sertifikalı kütüphaneleri kullanır.

FIPS modu etkinleştirildiğinde DD Boost tarafından sisteme erişmek için kullanılan sistemde belirlenen parolalar SHA512 karma değerlerine sahip olmalıdır. MD5 karma değerine sahip parolası olan bir kullanıcı FIPS özellikli sisteme bağlanamayacaktır.

NOT: Uygulamanın kullandığı Boost istemci kitaplığının sürümünün >7.1 olması, uygulamanın FIPS modu etkinleştirilmiş, DDOS sürümü >7.1 çalıştıran bir DD sistemine başarıyla bağlanabilmesi için gereklidir. Uygulama ile birlikte gönderilen DD Boost istemci kütüphanesi sürümü, uygulama sağlayıcısı tarafından belirlenir. Son 24 saat içinde DD sistemine bağlanan tüm Boost istemcilerinin listesi ddboost show connections CLI'dan elde edilebilir. Eklenti Sürümü sütunu, 7.1.x.x'ten önceki bir Boost eklentisine sahip herhangi bir istemcinin şu anda bu DD sistemine bağlanıp bağlanmadığını belirlemek için incelenmelidir. Bu tür istemciler, DD sisteminde FIPS modu etkinleştirildikten sonra bağlanamayacaktır ve yükseltilmeleri gerekir. Belirli bir uygulama sürümünün kullandığı DD Boost istemci kütüphanesi sürümünü belirlemek ve uygulamanın FIPS modunun etkin olduğu bir DD sistemiyle kullanılıp kullanılamayacağını öğrenmek için uygulama satıcısına danışın.

Telnet
Telnet FIPS uyumlu değildir ve varsayılan olarak devre dışıdır.

FTP/FTPS
FTP/FTPS FIPS uyumlu değildir ve varsayılan olarak devre dışıdır.

Active Directory
Active Directory FIPS uyumlu değildir.
Active Directory yapılandırıldığında ve FIPS etkinleştirildiğinde çalışmaya devam eder.

CIFS
DDOS üzerindeki CIFS sunucusu FIPS modu ayarından bağımsızdır. Müşteri FIPS modunu etkinleştirse bile CIFS, FIPS uyumlu olmayan modda
çalışmaya devam eder.
CIFS'in istemcilerden herhangi bir bağlantı kabul etmesini devre dışı bırakmak veya durdurmak için: sysadmin@localhost#

cifs disable

NFS
NFS, FIPS uyumlu değildir.
● NFS, FIPS uyumlu olmayan modda çalışmaya devam eder.
● NFS, nfs disable komutuyla devre dışı bırakılabilir.

Secure Connect Gateway (SCG)
SCG, Dell EMC ürünleri ve Dell EMC Müşteri Desteği arasında güvenli, iki yönlü bir bağlantıdır. SCG varsayılan olarak devre dışıdır ve FIPS uyumlu olmayan modda çalışmaya devam eder.

DISA STIG standartları

Sistem, hesap parola karmalarını oluşturmak için
FIPS 140-2 onaylı bir kriptografik karma algoritması kullanmalıdır.
Sistemler parolalar için SHA-2 algoritma ailesini
veya FIPS 140-2 onaylı haleflerini kullanan
kriptografik karmalar kullanmalıdır. Onaylanmamış algoritmaların kullanılması, zayıf parola karmalarının
ele geçirilmeye karşı daha savunmasız olmasına neden olabilir.

NOT: DDOS Komut Başvuru kılavuzunda, sistemde 

adminaccess option set password-hash {md5 | sha512}

FIPS 140-2 onaylı kriptografik karmayı ayarlamak için komutun nasıl kullanılacağı açıklanmaktadır. 

Karma algoritmanın değiştirilmesi
mevcut parolalar için karma değerini değiştirmez. md5 ile karma uygulanmış
mevcut parolalar, parola karma algoritması sha512 olarak
değiştirildikten sonra da md5 karma değerlerine
sahip olacaktır. Yeni bir sha512 karma değerinin hesaplanabilmesi
için bu parolaların sıfırlanması gerekir.

Harici olarak imzalanmış sertifikalar
Sertifika yetkilisi (CA), harici varlık ile her bir sistem arasında güvenilir bağlantı kurmak için genel sertifika (PEM) biçimindedir.
Sistem harici anahtar yöneticisini kullanıyorsa harici anahtar yöneticisi sunucusu ile yönettiği her sistem arasında güvenilir bağlantı kurmak için PEM (genel anahtar) biçiminde bir PKCS12 ana bilgisayar sertifikası ve CA sertifikası gerekir.
Sertifika imzalama için PKCS10 biçimi gerekir. Genel sertifika anahtarı PKCS12 (genel + özel anahtar) veya PEM biçiminde olabilir. Ana bilgisayar sertifikası PEM biçimi yalnızca Sertifika İmzalama İsteği (CSR) özelliği ile kullanılır.
HTTPS ve harici anahtar yöneticisi ile iletişim için ayrı ayrı ana bilgisayar sertifikaları içe aktarılabilir.
Ana bilgisayar sertifikasının PKCS12 biçiminde içe aktarılması desteklenir. Sistemde bir CSR varsa CSR, Sertifika Yetkilisi tarafından imzalandıktan sonra ana bilgisayar sertifikasını PEM biçiminde içe aktarabilirsiniz.
NOT: Sertifikayı içe aktarmak için sistem parolası gereklidir.
FIPS özellikli bir DD sisteminde, PKCS12 dosyası FIPS uyumlu olmalıdır. PKCS12 dosyası şifrelenirken uyumlu şifreleme algoritmaları kullanılmalıdır. PKCS12 dosyasındaki anahtar ve sertifikayı şifrelemek için "PBE-SHA1-3DES" kullanmanızı öneririz.

DD Encryption satır içi şifreleme sağlar, yani veriler alınırken RAID grubuna yazılmadan önce akış tekilleştirilir, sıkıştırılır ve bir şifreleme anahtarı kullanılarak şifrelenir. DD Encryption yazılımı, FIPS 140-2 onaylı RSA BSAFE kütüphanelerini kullanır.

Secure Connect Gateway (SCG)
Secure Connect Gateway, IP tabanlı otomatik ev bağlantısı ve uzaktan destek çözümüdür; ürün üzerinde gerçekleştirilen uzaktan destek faaliyetleri için hem birleşik bir mimari hem ortak bir erişim noktası oluşturur. SCG IP
Çözüm şunları yapar:
● Küçük donanım sorunlarının sürekli olarak izlenmesini, teşhis edilmesini ve onarılmasını sağlar.
● Ultra yüksek güvenlikli uzaktan destek için en gelişmiş şifreleme, kimlik doğrulama, denetim ve yetkilendirmeyi kullanır.
● Tüm erişim olaylarının günlüklerini sağlayarak kurumsal ve resmî düzenlemelerle uyumluluğu ele alır.
● Depolama yönetim ağı ve güvenlik duvarları ile kolay entegrasyon ve yapılandırma sağlar.
● Maksimum bilgi altyapısı koruması sağlar. IP tabanlı oturumlar hızlı bilgi aktarımı ve çözüm sağlar.
● SCG İstemcisi ile bilgi için uzaktan desteği birleştirir.
● Olağanüstü durum kurtarma sitesine uzaktan erişim sağlar ve planlanmamış olaylardan kurtarmayı sorunsuz hale getirir.
● Hareket halindeki veya bekleyen bilgileri korur. Bilgi aktarımı sırasında AES 256 şifreleme bilgileri korur.
● Maliyetleri ve veri merkezi zorluklarını azaltır ve çözüm süresini kısaltır. Modem/telefon hattı maliyetlerinin ortadan kaldırılması daha düşük maliyet anlamına gelir.
NOT: SCG, FIPS uyumlu değildir.
NOT: SCG'ye bağlanırken FTP veya güvenli olmayan e-posta kullanımı güvenlik riski oluşturabilir.

Amazon Web Services S3 için bir bulut birimi ekleme

AWS çeşitli depolama sınıfları sunar. E-Lab Navigator'da bulunan Bulut Sağlayıcıları Uyumluluk Matrisi, desteklenen depolama sınıfları hakkında güncel bilgiler sağlar.

Bu görev hakkında
Gelişmiş güvenlik için Cloud Tier özelliği tüm AWS istekleri için Signature Version 4 kullanır. Signature Version 4 imzalama varsayılan olarak etkindir.
Aşağıdaki uç noktalar, depolama sınıfına ve bölgeye bağlı olarak AWS bulut sağlayıcısı tarafından kullanılır. Bulut birimlerini yapılandırmadan önce DNS'nin bu ana bilgisayar adlarını çözümleyebildiğinden emin olun.

FIPS uyumlu uç noktalar AWS Government Cloud için kullanılabilir.

DDOS 7.8'den itibaren, us-east-1 bölgesi artık eski s3.amazonaws.com uç noktasını desteklememektedir. us-east-1 bölgesi artık s3.us-east-1.amazonaws.com uç noktasını gerektirmektedir. DDOS 7.8'e yükseltmeden önce güvenlik duvarının yeni uç noktaya ulaşmak için açık olduğunu doğrulayın.

s3.fips.us-gov-west-1.amazonaws.com