FIPSモードにおけるJunos OSの動作環境の理解

FIPSモードのJunos OS向けハードウェア環境

FIPSモードのJunos OSは、重要なセキュリティパラメーター(CSP)がプレーンテキストを使用して越えることができない暗号境界をスイッチ内に確立します。FIPS 140-2 に準拠するために暗号化境界を必要とするスイッチの各ハードウェア コンポーネントは、個別の暗号化モジュールです。

スイッチの暗号化境界の詳細については、 FIPS モードの Junos OS についてを参照してください。

これらのセキュリティで保護された環境間での CSP に関連する通信は、暗号化を使用して行う必要があります。

暗号化方式は、物理的なセキュリティに代わるものではありません。ハードウェアは、安全な物理環境に配置する必要があります。すべてのタイプのユーザーは、キーやパスワードを開示したり、権限のない人が書面による記録やメモを見せたりしてはなりません。

FIPSモードのJunos OS用ソフトウェア環境

EXまたはQFXシリーズスイッチのFIPSモードでJunos OSを実行すると、特別なタイプの変更不可能な運用環境が形成されます。スイッチでこの環境を実現するために、システムは、認定された Junos OS ディストリビューションの一部ではないバイナリ ファイルの実行を防止します。スイッチがFIPSモードの場合は、Junos OSのみを実行できます。

EXまたはQFXシリーズスイッチのFIPSモードは、Junos OSリリース20.2R1-S1以降で使用できます。FIPSモードのJunos OSソフトウェア環境は、Crypto OfficerがEXおよびQFXシリーズスイッチでFIPSモードを有効にした後に確立されます。FIPSパッケージを含むJunos OSリリース20.2R1-S1イメージは、ジュニパーネットワークスのWebサイトで入手でき、EXおよびQFXシリーズスイッチにインストールできます。イメージ名の詳細については、 ジュニパーネットワークスからのソフトウェアパッケージのダウンロード を参照してください。

FIPS 140-2 に準拠するには、FIPS モードを有効にした直後に、ユーザーが作成したすべてのファイルとデータをシステムから削除 (ゼロ化) することをお勧めします。

FIPSモードを有効にすると、通常のJunos OSプロトコルとサービスの多くが無効になります。特に、FIPSモードのJunos OSでは、以下のサービスを設定することはできません。

• 指

• Ftp

• Rlogin

• Telnet

• Tftp

• xnm-clear-text

これらのサービスを構成しようとしたり、これらのサービスが構成された構成を読み込もうとすると、構成構文エラーが発生します。リモート アクセス サービスとして使用できるのは SSHv2 のみです。

FIPSモードでJunos OSにアップグレードした後にユーザーに確立するすべてのパスワードは、Junos OS in FIPSモードの仕様に準拠している必要があります。パスワードの長さは 10 から 20 文字でなければならず、定義された 5 つの文字セット (大文字と小文字、数字、句読点、% や & などのキーボード文字、他の 4 つのカテゴリには含まれない) のうち少なくとも 3 つを使用する必要があります。これらのルールに準拠していないパスワードを設定しようとすると、エラーが発生します。ピアの認証に使用するすべてのパスワードとキーは、10 文字以上でなければならず、場合によっては、長さがダイジェスト サイズと一致する必要があります。

メモ：

Crypto Officerがローカルコンソール接続から設定を完了するまでは、スイッチをネットワークに接続しないでください。

重要なセキュリティパラメータ

重要なセキュリティパラメータ(CSP)は、暗号化キーやパスワードなどのセキュリティ関連情報であり、暗号化モジュールのセキュリティまたはモジュールによって保護されている情報のセキュリティが開示または変更された場合に危険にさらされる可能性があります。

システムをゼロ化することで、スイッチまたはルーティングエンジンを暗号モジュールとして動作させる準備として、CSPの痕跡がすべて消去されます。

表1 は、Junos OSが動作するスイッチ上のCSPの一覧です。

表 1: 重要なセキュリティパラメータ

Csp	説明	ゼロ化方法	使用
SSHv2プライベートホストキー	SSHが初めて設定された際に生成される、ホストの識別に使用されるECDSA/RSAキー。	ゼロ化コマンド。	ホストを識別するために使用されます。
SSHv2 セッション キー	SSHv2 で使用されるセッション鍵。 および をDiffie-Hellman秘密鍵として使用します。 暗号化: 3DES、AES-128、AES-192、AES-256。 MAC:HMAC-SHA-1、HMAC-SHA-2-256、HMAC-SHA2-512 鍵交換: ECDH-sha2-nistp256、ECDH-sha2-nistp384、ECDH-sha2-nistp521。	電源を入れ直してセッションを終了します。	ホストとクライアント間のデータを暗号化するために使用される対称キー。
ユーザー認証キー	ユーザーのパスワードのハッシュ: SHA-256、SHA-512。	ゼロ化コマンド。	暗号化モジュールに対してユーザーを認証するために使用されます。
Crypto Officer認証キー	Crypto Officerのパスワードのハッシュ:SHA-256、SHA-512。	ゼロ化コマンド。	暗号モジュールに対してCrypto Officerを認証するために使用されます。
HMAC DRBG シード	決定論的ランドンビットジェネレータ(DRBG)のシード。	シードは暗号化モジュールによって格納されません。	DRBGのシードに使用されます。
HMAC DRBG V 値	出力ブロック長(outlen)の値(V)(ビット単位)。出力の別のoutlenビットが生成されるたびに更新されます。	電源を入れ直します。	DRBG の内部状態のクリティカル値。
HMAC DRBG キー値	DRBG メカニズムが擬似乱数ビットを生成するたびに少なくとも 1 回更新される、アウトレンビット鍵の現在の値。	電源を入れ直します。	DRBG の内部状態のクリティカル値。
NDRNGエントロピー	HMAC DRBG へのエントロピー入力文字列として使用されます。	電源を入れ直します。	DRBG の内部状態のクリティカル値。

FIPSモードのJunos OSでは、すべてのCSPが暗号化された形式で暗号化モジュールに出入りする必要があります。承認されていないアルゴリズムで暗号化された CSP は、FIPS によってプレーンテキストと見なされます。.

ベスト プラクティス:

FIPS 準拠のため、スイッチは暗号化された接続であるため、SSH 接続を介してスイッチを構成します。

ローカルパスワードは、セキュアハッシュアルゴリズムSHA-256またはSHA-512でハッシュされます。FIPSモードのJunos OSでは、パスワードのリカバリーはできません。FIPSモードのJunos OSは、正しいrootパスワードがないとシングルユーザーモードで起動できません。