Présentation de Junos OS

Un seul système d’exploitation

Contrairement à d’autres systèmes d’exploitation réseau qui partagent un nom commun mais qui se scindent en plusieurs programmes différents, Junos OS est un système d’exploitation unique et cohérent qui est partagé par tous les équipements réseau et toutes les gammes de produits. Les ingénieurs de Juniper Networks peuvent ainsi développer des fonctionnalités logicielles une seule fois et les partager simultanément sur toutes les gammes de produits. Parce que les fonctionnalités sont communes à une seule source, elles sont généralement mises en œuvre de la même manière pour toutes les gammes de produits, réduisant ainsi la formation nécessaire pour apprendre des outils et des méthodes différents pour chaque produit. Tous les produits Juniper Networks utilisant la même base de code, l’interopérabilité entre les produits ne pose aucun problème.

Une architecture logicielle modulaire

Bien que les modules individuels de Junos OS communiquent via des interfaces bien définies, chaque module fonctionne dans son propre espace mémoire protégé, ce qui empêche un module d’en perturber un autre. Cette séparation permet le redémarrage indépendant de chaque module si nécessaire. Cela contraste avec les systèmes d’exploitation monolithiques où un dysfonctionnement dans un module peut se répercuter sur d’autres modules et provoquer un plantage ou un redémarrage complet du système. Cette architecture modulaire offre ensuite des performances, une haute disponibilité, une sécurité et une évolutivité des équipements que l’on ne trouve pas dans d’autres systèmes d’exploitation.

Junos OS est préinstallé sur votre équipement Juniper Networks lorsque vous le recevez de l’usine. Ainsi, lorsque vous allumez l’appareil pour la première fois, tous les logiciels démarrent automatiquement. Il vous suffit de configurer le logiciel pour que l’appareil puisse participer au réseau.

Vous pouvez mettre à niveau le logiciel de l’appareil au fur et à mesure que de nouvelles fonctionnalités sont ajoutées ou que des problèmes logiciels sont résolus. Normalement, vous pouvez obtenir de nouveaux logiciels en téléchargeant les packages d’installation des logiciels à partir de la page Web d’assistance de Juniper Networks sur votre équipement ou sur un autre système de votre réseau local. Vous installez ensuite la mise à niveau logicielle sur l’appareil.

Les plates-formes de routage Juniper Networks exécutent uniquement les fichiers binaires fournis par Juniper Networks et ne prennent actuellement pas en charge les fichiers binaires tiers. Chaque image Junos OS inclut un manifeste signé numériquement des exécutables qui sont enregistrés auprès du système uniquement si la signature peut être validée. Junos OS n’exécutera aucun binaire sans signature enregistrée. Cette fonction protège le système contre les logiciels et activités non autorisés susceptibles de compromettre l’intégrité de votre appareil.

Démarrage sécurisé et chargeur d’amorçage

Le processus de démarrage du système comporte plusieurs étapes, à commencer par l'activation du processeur en tant que processeur de démarrage, en communiquant avec le PCH pour faire apparaître le système. Le processeur passe à la routine BIOS stockée dans la mémoire flash SPI principale. En cas de défaillance de la mémoire flash principale, le FPGA de démarrage bascule sur la mémoire flash secondaire pour la récupération, mais il ne charge pas le chargeur de démarrage.

Le chargeur d'amorçage joue un rôle essentiel dans le processus de démarrage du système, garantissant une exécution sûre et ordonnée du système d'exploitation. L'ordre de démarrage et des mécanismes tels que le démarrage sécurisé, l'USB, le SSD et le démarrage PXE offrent flexibilité et résilience à la procédure de démarrage du système. De plus, les configurations GRUB permettent aux utilisateurs de personnaliser et de dépanner le processus de démarrage selon les besoins

Le démarrage sécurisé est une amélioration significative de la sécurité du système basée sur la norme UEFI (voir www.uefi.org). Il fonctionne en protégeant le BIOS lui-même contre toute altération ou modification, puis en maintenant cette protection tout au long du processus de démarrage.

Le processus de démarrage sécurisé commence avec Secure Flash, qui garantit qu’aucune modification non autorisée ne peut être apportée au micrologiciel. Les versions autorisées de Junos OS portent une signature numérique produite directement par Juniper Networks ou par l’un de ses partenaires agréés. À chaque étape du processus de démarrage, chaque composant vérifie que le lien suivant est sain en vérifiant la signature pour s’assurer que les fichiers binaires n’ont pas été modifiés. Le processus de démarrage ne peut se poursuivre que si la signature est correcte. Cette « chaîne de confiance » se poursuit jusqu’à ce que le système d’exploitation en prenne le contrôle. De cette façon, la sécurité globale du système est améliorée, augmentant la résistance à certaines menaces persistantes basées sur le micrologiciel.

La figure 1 montre une version simplifiée de cette « chaîne de confiance ».

La mise en œuvre du démarrage sécurisé ne nécessite aucune action de votre part. Il est implémenté par défaut sur le matériel pris en charge.

Le démarrage sécurisé des appareils SRX est un mécanisme de sécurité essentiel conçu pour protéger le matériel Juniper et empêcher l’exécution de code ou de données non autorisés. Les entités non autorisées sont définies comme celles qui ne disposent pas d’une signature numérique Juniper appropriée ou de celle de ses sociétés affiliées autorisées.

Voici un aperçu concis du fonctionnement du démarrage sécurisé pour les appareils SRX1600, SRX2300, SRX4300 et SRX4700 :

• Séquence de mise sous tension : Lors de la mise sous tension, le processeur lance l’exécution avec le BIOS UEFI.

• Chargeur d’amorçage : Le BIOS UEFI charge l’exécutable PE/COFF32+ signé \EFI\BOOT\BOOTX64. EFI. Cet exécutable contient un GRUB2 modifié, qui n’autorise que les E/S en lecture de fichiers avec des signatures détachées appropriées.

• Signatures détachées : Les signatures détachées de GRUB2 sont stockées sous le format ${object}.psig, en utilisant un format OpenPGP binaire (non blindé).

• Stockage de clés GPG : Des clés GPG supplémentaires, en conjonction avec la clé publique GPG de confiance compilée dans GRUB2, peuvent être stockées dans \EFI\BOOT\grub-trusted.gpg.

• Etablissement de la confiance : La confiance dans \EFI\BOOT\grub-trusted.gpg est établie en vérifiant \EFI\BOOT\grub-trusted.gpg.psig à l’aide de la clé grub-root incorporée dans \EFI\BOOT\BOOTX64. EFI.

• Configuration de GRUB2 : La configuration de démarrage de GRUB2, située dans \EFI\BOOT\grub-startup.cfg, est responsable du chargement du noyau Linux signé et, éventuellement, d’une image initrd signée.

• Restrictions de chargement des fichiers : BOOTX64. EFI insiste systématiquement sur les fichiers correctement signés et s’abstient de charger les fichiers non signés, à l’exception des fichiers de configuration GRUB ou des fichiers d’environnement GRUB.

Installation et activation

Pour activer le démarrage sécurisé pour SRX2300 périphériques, accédez au menu du BIOS et sélectionnez Restaurer le démarrage sécurisé aux paramètres d’usine dans le menu Administrer le démarrage sécurisé .

Note:

Une fois que le démarrage sécurisé est activé, il ne peut pas être désactivé.

Pour plus d’informations sur les versions de Junos OS et le matériel prenant en charge le démarrage sécurisé, reportez-vous à la section Explorateur de fonctionnalités et saisissez Secure Boot.

Racine de confiance matérielle

La racine de confiance matérielle (HRoT) est une fonctionnalité de sécurité matérielle intégrée au système, qui sert de base de confiance pour vérifier l’intégrité du micrologiciel et garantir son fonctionnement sécurisé. Cette fonctionnalité fournit une racine de confiance inaltérable à partir du matériel, protégeant contre les vulnérabilités de sécurité potentielles au sein du système. Le HRoT agit comme un composant essentiel pour garantir l’authenticité du firmware et de la configuration du système.

Contrairement aux mécanismes de confiance logiciels, le HRoT est implémenté directement dans le matériel, ce qui le rend très résistant aux falsifications. La fonction principale du HRoT est de vérifier l'intégrité du micrologiciel, en s'assurant qu'il n'a pas été compromis ou modifié sans autorisation. Cette fonctionnalité permet d’implémenter un processus de démarrage sécurisé dans lequel seuls les micrologiciels vérifiés et fiables peuvent être chargés.

Note:

Assurez-vous que le message suivant s’affiche lors du démarrage anticipé de l’appareil pour savoir que HRoT et le démarrage sécurisé sont appliqués.

JUNIPER HARDWARE ROOT OF TRUST WITH SECURE BOOT ENFORCED

Conformité de sécurité FIPS 140-2

Pour une sécurité réseau avancée, une version spéciale de Junos OS, appelée Junos-FIPS 140-2, est disponible. La norme Junos-FIPS 140-2 fournit aux clients des outils logiciels leur permettant de configurer un réseau d’équipements Juniper Networks dans un environnement FIPS. La prise en charge de FIPS comprend :

• Package de mise à niveau pour convertir Junos OS en Junos-FIPS 140-2

• Révision des procédures d’installation et de configuration

• Sécurité renforcée pour l’accès à distance

• Rôles d’utilisateur FIPS (responsable du chiffrement, utilisateur et maintenance)

• Journalisation système et messages d’erreur spécifiques à FIPS

• Configuration IPsec pour la communication entre le moteur de routage et le moteur de routage

• Amélioration de la création et du chiffrement des mots de passe

À partir de la version 15.1 de Junos OS, Junos-FIPS est empaqueté dans une image domestique uniquement : une seule image Junos OS prend en charge les fonctionnalités nationales et FIPS. Les utilisateurs disposant des informations d’identification FIPS et de l’autorisation de connexion peuvent basculer entre une image Junos standard et une image FIPS.

Note:

Junos-FIPS impose des exigences particulières en matière de mots de passe. Les mots de passe FIPS doivent comporter entre 10 et 20 caractères. Les mots de passe doivent utiliser au moins trois des cinq jeux de caractères définis (lettres majuscules, lettres minuscules, chiffres, signes de ponctuation et autres caractères spéciaux). Si Junos-FIPS est installé sur l’équipement, vous ne pouvez pas configurer de mots de passe s’ils ne répondent pas à cette norme.