FIPS モードの Junos OS の動作環境について

FIPSモードのJunos OSのハードウェア環境

FIPS モードの Junos OS は、重要なセキュリティ パラメーター(CSP)がプレーン テキストを使用して越えることができない暗号化境界をデバイス内に確立します。FIPS 140-2に準拠するために暗号化境界を必要とするデバイスの各ハードウェアコンポーネントは、個別の暗号化モジュールです。 FIPS モードの Junos OS には、暗号化境界を持つハードウェアには、各ルーティングエンジン用と、LC MPC7E-10G カードを含むシャーシ全体用の 2 種類があります。各コンポーネントは個別の暗号化モジュールを形成します。これらのセキュアな環境間のCSPが関与する通信は、暗号化を使用して行う必要があります。

暗号化方法は、物理的なセキュリティに代わるものではありません。ハードウェアは、安全な物理環境に配置する必要があります。すべてのタイプのユーザーは、鍵やパスワードを明かしたり、許可されていない人物が書面による記録やメモを閲覧したりしてはなりません。

FIPSモードのJunos OS用ソフトウェア環境

FIPS モードで Junos OS を実行しているジュニパーネットワークス デバイスは、特殊なタイプの変更不可能な運用環境を形成します。デバイス上でこの環境を実現するために、システムは、FIPS モード配信で認定された Junos OS の一部ではなかったバイナリ ファイルの実行を防止します。デバイスがFIPSモードの場合、Junos OSのみを実行できます。

FIPS モード ソフトウェア環境の Junos OS は、Crypto Officer がデバイス上で FIPS モードを正常に有効にした後に確立されます。FIPS モードを含む Junos OS イメージは、ジュニパーネットワークスの Web サイトで入手でき、正常に動作するデバイスにインストールできます。

FIPS 140-2に準拠するために、FIPSモードを有効にする前にデバイスを ゼロ化 して、ユーザーが作成したファイルとデータをすべて削除することをお勧めします。

FIPS レベル 1 でデバイスを操作するには、改ざん防止ラベルを使用してルーティング エンジンをシャーシに密閉する必要があります。

FIPS モードを有効にすると、通常の Junos OS プロトコルとサービスの多くが無効になります。特に、FIPS モードの Junos OS では、以下のサービスを設定できません。

• 指

• FTP

• rログイン

• Telnet

• TFTP

• xnm-クリアテキスト

これらのサービスを構成しようとしたり、これらのサービスを構成した状態で構成をロードしようとすると、構成構文エラーが発生します。

リモートアクセスサービスとして使用できるのはSSHのみです。

FIPS モードで Junos OS にアップグレードした後にユーザー用に設定されたすべてのパスワードは、FIPS モードの Junos OS 仕様に準拠している必要があります。パスワードの長さは10文字から20文字の間である必要があり、定義された5つの文字セットのうち少なくとも3つを使用する必要があります(大文字と小文字、数字、句読点、%や&などのキーボード文字。他の4つのカテゴリには含まれません)。これらのルールに準拠していないパスワードを設定しようとすると、エラーが発生します。ピアの認証に使用するすべてのパスワードとキーの長さは少なくとも10文字である必要があり、場合によってはダイジェストサイズと一致する必要があります。

手記：

Crypto Officerがローカルコンソール接続から設定を完了するまで、デバイスをネットワークに接続しないでください。

厳格にコンプライアンスを遵守するために、一部のCSPがプレーンテキストで表示される可能性があるため、FIPSモードのJunos OSのローカルコンソールでコアおよびクラッシュダンプ情報を調べないでください。

重要なセキュリティパラメータ

重要なセキュリティパラメーター(CSP)とは、暗号化キーやパスワードなどのセキュリティ関連情報であり、開示または変更された場合、暗号化モジュールのセキュリティや、モジュールによって保護される情報のセキュリティが危険にさらされる可能性があります。

システムをゼロ化すると、デバイスまたはルーティングエンジンを暗号化モジュールとして動作させる準備として、CSPの痕跡がすべて消去されます。

表1 は、Junos OSを実行しているデバイス上のCSPを示しています。

表1:重要なセキュリティパラメーター

CSP	形容	ゼロ化	使う
SSHv2プライベートホストキー	ホストの識別に使用されるECDSA/RSAキーは、SSHを初めて設定したときに生成されます。	Zeroizeコマンドを使用します。	ホストを識別するために使用します。
SSHv2 セッション キー	SSHv2 および Diffie-Hellman プライベート キーとして使用されるセッション キー。 暗号化:AES-128、AES-192、AES-256。 MAC:HMAC-SHA-1、HMAC-SHA-2-256、HMAC-SHA2-512。 鍵交換:dh-group14-sha1、ECDH-sha2-nistp-256、ECDH-sha2-nistp-384、ECDH-sha2-nistp-521。	電源を入れ直してセッションを終了します。	ホストとクライアント間のデータの暗号化に使用される対称キー。
ユーザー認証キー	ユーザーパスワードのハッシュ:SHA256、SHA512。	Zeroizeコマンドを使用します。	暗号化モジュールに対してユーザーを認証するために使用されます。
Crypto Officer認証キー	Crypto Officerのパスワードのハッシュ:SHA256、SHA512。	Zeroizeコマンドを使用します。	暗号化モジュールに対するCrypto Officerの認証に使用されます。
HMAC DRBGシード	決定論的ランドンビットジェネレータ(DRBG)のシード。	シードは暗号化モジュールによって保存されません。	DRBGのシードに使用されます。
HMAC DRBG V 値	出力ブロック長(アウトレン)の値(V)はビット単位で、出力の別のアウトレンビットが生成されるたびに更新されます。	電源を入れ直します。	DRBGの内部状態の臨界値。
HMAC DRBGキー値	DRBGメカニズムが擬似乱数ビットを生成するたびに少なくとも1回更新されるoutlen-bitキーの現在の値。	電源を入れ直します。	DRBGの内部状態の臨界値。
NDRNG エントロピー	HMAC DRBG へのエントロピー入力文字列として使用されます。	電源を入れ直します。	DRBGの内部状態の臨界値。

FIPS モードの Junos OS では、すべての CSP は暗号化された形式で暗号化モジュールに出入りする必要があります。未承認のアルゴリズムで暗号化されたCSPは、FIPSによってプレーンテキストと見なされます。

ベストプラクティス:

FIPS準拠のため、デバイスは暗号化接続であるため、SSH接続で設定します。

ローカルパスワードは、SHA256またはSHA512アルゴリズムでハッシュされます。FIPS モードの Junos OS では、パスワードのリカバリーはできません。FIPS モードの Junos OS は、正しい root パスワードがないとシングルユーザー モードで起動できません。