Comprendre la mise à zéro pour effacer les données système pour le mode de fonctionnement FIPS

La zeroisation efface complètement toutes les informations de configuration de l’appareil, y compris tous les mots de passe en clair, les secrets et les clés privées pour SSH, le chiffrement local, l’authentification locale et IPsec. Pour quitter le mode FIPS, vous devez mettre l’appareil à zéro.

Le module cryptographique fournit un mode de fonctionnement non approuvé dans lequel les algorithmes cryptographiques non approuvés sont pris en charge. Lorsque vous passez du mode de fonctionnement non approuvé au mode de fonctionnement approuvé, l’administrateur de la sécurité doit remettre à zéro les paramètres de sécurité critiques (CSP) du mode non approuvé. Pour les appareils SRX1600, l’administrateur Sécurité lance le processus de mise à zéro en entrant la commande à partir du CLI après avoir activé le request vmhost zeroize mode de fonctionnement FIPS. L’utilisation de cette commande est limitée à l’administrateur de la Sécurité.

MISE EN GARDE :

Effectuez la mise à zéro du système avec précaution. Une fois le processus de mise à zéro terminé, aucune donnée n’est laissée sur l’appareil. Cette commande efface tous les CSP, configurations et partitions de disque dur contenant l’image de l’appareil. Par conséquent, le périphérique ne démarre pas sur la mise à zéro et une réimage USB est nécessaire pour récupérer le périphérique.

La zeroisation peut prendre du temps. Bien que toutes les configurations soient supprimées en quelques secondes, le processus de mise à zéro écrase tous les supports, ce qui peut prendre un temps considérable selon la taille du support.

Pourquoi Zeroize ?

Votre appareil n’est pas considéré comme un module cryptographique FIPS valide tant que tous les CSP n’ont pas été saisis (ou saisis à nouveau) alors que l’appareil est en mode de fonctionnement FIPS. Pour la conformité à la norme FIPS 140-3, la seule façon de sortir du mode FIPS est de remettre à zéro la TOE.

Quand mettre à zéro ?

En tant qu’administrateur de la sécurité, effectuez la mise à zéro dans les situations suivantes :

Avant l’opération FIPS : pour préparer votre appareil à fonctionner en tant que module cryptographique FIPS, effectuez une mise à zéro pour supprimer les paramètres de sécurité critiques (CSP) en mode non approuvé et activer le mode FIPS sur l’appareil.
Avant le fonctionnement non FIPS : pour commencer à réaffecter votre appareil à un fonctionnement non FIPS, effectuez la mise à zéro de l’équipement.

Remarque :
Juniper Networks ne prend pas en charge l’installation de logiciels non-FIPS dans un mode de fonctionnement FIPS, mais cela peut s’avérer nécessaire dans certains environnements de test. Assurez-vous d’abord de mettre le système à zéro.
Lorsqu’un sceau d’inviolabilité est perturbé : si le sceau d’un port non sécurisé a été altéré, le système est considéré comme compromis. Après avoir appliqué de nouveaux scellés d’inviolabilité aux emplacements appropriés, mettez le système à zéro et configurez de nouveaux mots de passe et CSP.