Junos OS – Übersicht

Ein Betriebssystem

Im Gegensatz zu anderen Netzwerkbetriebssystemen, die einen gemeinsamen Namen haben, aber in viele verschiedene Programme zersplittert sind, ist Junos OS ein einziges, zusammenhängendes Betriebssystem, das von allen Netzwerkgeräten und Produktlinien gemeinsam genutzt wird. Auf diese Weise können die Ingenieure von Juniper Networks Softwarefunktionen einmal entwickeln und diese Funktionen für alle Produktlinien gleichzeitig freigeben. Da Funktionen einer einzigen Quelle gemeinsam sind, werden sie in der Regel für alle Produktlinien auf die gleiche Weise implementiert, wodurch der Schulungsaufwand für das Erlernen verschiedener Tools und Methoden für jedes Produkt reduziert wird. Da alle Produkte von Juniper Networks dieselbe Codebasis verwenden, ist die Interoperabilität zwischen den Produkten kein Problem.

Eine modulare Software-Architektur

Obwohl einzelne Module von Junos OS über gut definierte Schnittstellen kommunizieren, läuft jedes Modul in seinem eigenen geschützten Speicherbereich, wodurch verhindert wird, dass ein Modul ein anderes stört. Diese Trennung ermöglicht den unabhängigen Neustart jedes Moduls bei Bedarf. Dies steht im Gegensatz zu monolithischen Betriebssystemen, bei denen eine Fehlfunktion in einem Modul auf andere Module übergreifen und einen vollständigen Systemabsturz oder Neustart verursachen kann. Diese modulare Architektur bietet dann eine hohe Leistung, hohe Verfügbarkeit, Sicherheit und Skalierbarkeit der Geräte, die in anderen Betriebssystemen nicht zu finden sind.

Das Junos OS ist auf Ihrem Gerät von Juniper Networks vorinstalliert, wenn Sie es ab Werk erhalten. Wenn Sie das Gerät zum ersten Mal einschalten, startet die gesamte Software automatisch. Sie müssen lediglich die Software so konfigurieren, dass das Gerät am Netzwerk teilnehmen kann.

Sie können die Gerätesoftware aktualisieren, wenn neue Funktionen hinzugefügt oder Softwareprobleme behoben werden. Normalerweise erhalten Sie neue Software, indem Sie die Softwareinstallationspakete von der Support-Webseite von Juniper Networks auf Ihr Gerät oder auf ein anderes System in Ihrem lokalen Netzwerk herunterladen. Anschließend installieren Sie das Software-Upgrade auf dem Gerät.

Auf den Routing-Plattformen von Juniper Networks werden nur Binärdateien ausgeführt, die von Juniper Networks bereitgestellt werden, und es werden derzeit keine Binärdateien von Drittanbietern unterstützt. Jedes Junos OS-Image enthält ein digital signiertes Manifest ausführbarer Dateien, die nur dann beim System registriert werden, wenn die Signatur validiert werden kann. Junos OS führt keine Binärdatei ohne registrierte Signatur aus. Diese Funktion schützt das System vor nicht autorisierter Software und Aktivitäten, die die Integrität Ihres Geräts gefährden könnten.

Sicheres Booten und Bootloadern

Der Startvorgang des Systems umfasst mehrere Phasen, beginnend mit der Aktivierung der CPU als Boot-Prozessor und der Kommunikation mit dem PCH, um das System hochzufahren. Die CPU springt zur BIOS-Routine, die im primären SPI-Flash gespeichert ist. Im Falle eines Ausfalls des primären Flashs wechselt der Boot-FPGA zur Wiederherstellung zum sekundären Flash, lädt jedoch nicht den Bootloader.

Der Bootloader spielt eine kritische Rolle beim Bootvorgang des Systems und gewährleistet eine sichere und geordnete Ausführung des Betriebssystems. Die Startreihenfolge und Mechanismen wie Secure Boot, USB, SSD und PXE-Start bieten Flexibilität und Ausfallsicherheit für den Systemstartvorgang. Darüber hinaus ermöglichen GRUB-Konfigurationen Benutzern, den Bootvorgang nach Bedarf anzupassen und Fehler zu beheben

Secure Boot ist eine bedeutende Erweiterung der Systemsicherheit basierend auf dem UEFI-Standard (siehe Website des Unified Extensible Firmware Interface Forum ). Es funktioniert, indem es das BIOS selbst vor Manipulationen oder Änderungen schützt und diesen Schutz dann während des gesamten Bootvorgangs aufrechterhält.

Der Secure Boot-Prozess beginnt mit Secure Flash, das sicherstellt, dass keine nicht autorisierten Änderungen an der Firmware vorgenommen werden können. Autorisierte Versionen von Junos OS tragen eine digitale Signatur, die entweder von Juniper Networks direkt oder von einem seiner autorisierten Partner erstellt wird. An jedem Punkt des Startvorgangs überprüft jede Komponente, ob die nächste Verbindung einwandfrei ist, indem sie die Signatur überprüft, um sicherzustellen, dass die Binärdateien nicht geändert wurden. Der Bootvorgang kann nur fortgesetzt werden, wenn die Signatur korrekt ist. Diese "Vertrauenskette" wird fortgesetzt, bis das Betriebssystem die Kontrolle übernimmt. Auf diese Weise wird die allgemeine Systemsicherheit verbessert und die Widerstandsfähigkeit gegen einige Firmware-basierte, anhaltende Bedrohungen erhöht.

Abbildung 1 zeigt eine vereinfachte Version dieser "Vertrauenskette".

Secure Boot erfordert keine Aktionen Ihrerseits. Es ist standardmäßig auf unterstützter Hardware implementiert.

Informationen dazu, welche Versionen und Hardware von Junos OS Secure Boot unterstützen, finden Sie im Feature-Explorer , und geben Sie Secure Bootein.

Hardware Root of Trust

Hardware Root of Trust (HRoT) ist eine hardwarebasierte, in das System integrierte Sicherheitsfunktion, die als vertrauenswürdige Grundlage dient, um die Integrität der Firmware zu überprüfen und ihren sicheren Betrieb zu gewährleisten. Diese Funktion bietet eine unveränderliche Vertrauensbasis, die von der Hardware ausgeht und vor potenziellen Sicherheitslücken innerhalb des Systems schützt. HRoT fungiert als kritische Komponente für die Gewährleistung der Authentizität der Systemfirmware und -konfiguration.

Im Gegensatz zu softwarebasierten Vertrauensmechanismen ist HRoT direkt in der Hardware implementiert und damit sehr widerstandsfähig gegen Manipulationen. Die Hauptfunktion von HRoT besteht darin, die Integrität der Firmware zu überprüfen und sicherzustellen, dass sie nicht kompromittiert oder unbefugt geändert wurde. Diese Funktion wird verwendet, um einen sicheren Boot-Prozess zu implementieren, bei dem nur verifizierte und vertrauenswürdige Firmware geladen werden kann.

FIPS 140-2 Sicherheits-Compliance

Für erweiterte Netzwerksicherheit ist eine spezielle Version von Junos OS namens Junos-FIPS 140-2 verfügbar. Junos-FIPS 140-2 bietet Kunden Softwaretools zur Konfiguration eines Netzwerks von Geräten von Juniper Networks in einer FIPS-Umgebung. Die FIPS-Unterstützung umfasst:

• Upgrade-Paket zur Konvertierung von Junos OS auf Junos-FIPS 140-2

• Überarbeitete Installations- und Konfigurationsverfahren

• Erzwungene Sicherheit für den Remote-Zugriff

• FIPS-Benutzerrollen (Crypto Officer, Benutzer und Wartung)

• FIPS-spezifische Systemprotokollierung und Fehlermeldungen

• IPsec-Konfiguration für die Kommunikation zwischen Routing-Engine und Routing-Engine

• Verbesserte Passworterstellung und -verschlüsselung

Junos-FIPS ist nur in einem inländischen Image enthalten: Ein einzelnes Junos OS-Image unterstützt sowohl inländische als auch FIPS-Funktionen. Benutzer, die über die FIPS-Anmeldeinformationen und die Berechtigung zur Anmeldung verfügen, können zwischen einem regulären Junos-Image und einem FIPS-Image wechseln.