FIPS動作モードにおけるJunos OSの役割とサービスについて
非FIPSモードで動作するジュニパーネットワークスJunosオペレーティングシステム(Junos OS)は、ユーザーに幅広い機能を提供し、認証はIDベースです。対照的に、FIPS 140-3 標準では、 セキュリティ管理者 と FIPS ユーザーの 2 つのユーザー ロールが定義されています。これらのロールは、Junos OSのユーザー機能の観点から定義されます。
管理ユーザー (セキュリティー管理者) は、システムへの管理アクセス権限が付与される前に、固有の ID および認証データを提供する必要があります。
FIPS 動作モードで Junos OS 用に定義されているその他のすべてのユーザー タイプ(オペレーター、管理ユーザーなど)は、セキュリティ管理者または FIPS ユーザーの 2 つのカテゴリーのいずれかに分類される必要があります。このため、FIPS モードの動作でのユーザー認証は、ID ベースではなくロールベースです。
FIPS の役割に加えて、両方のユーザー タイプは、個々のユーザー構成が許す限り、デバイス上で通常の構成タスクを実行できます。
セキュリティ管理者とFIPSユーザーは、FIPS関連のすべての設定タスクを実行し、FIPS動作モードでJunos OSのすべてのステートメントとコマンドを発行します。セキュリティ管理者と FIPS ユーザーの設定は、FIPS モードの動作における Junos OS のガイドラインに従う必要があります。
セキュリティ管理者の役割と責任
セキュリティ管理者は、デバイス上でJunos OSをFIPSモードの操作の有効化、設定、監視、および維持する責任者です。セキュリティ管理者は、Junos OSをデバイスに安全にインストールし、FIPS動作モードを有効にし、他のユーザーとソフトウェアモジュール用のキーとパスワードを確立し、ネットワーク接続前にデバイスを初期化します。セキュリティ管理者は、コンソールまたは SSH 接続を介してモジュールを設定および監視できます。
セキュリティー管理者は、パスワードを安全に保管し、監査ファイルを確認することにより、安全な方法でシステムを管理することをお勧めします。
セキュリティー管理者が他の FIPS ユーザーと区別するアクセス権は、 secret、 security、 maintenance、および controlです。FIPS に準拠するには、これらの権限をすべて含むログインクラスにセキュリティ管理者を割り当てます。Junos OSメンテナンス権限を持つユーザーは、重要なセキュリティパラメーター(CSP)を含むファイルを読み取ることができます。
FIPS モード動作の Junos OS は、Junos OS メンテナンス権限とは異なる FIPS 140-3 メンテナンス ロールをサポートしていません。
FIPSモードのJunos OSに関連するタスクのうち、セキュリティ管理者は以下のことを想定しています。
初期 root パスワードを設定します。
Junos OSからのアップグレード中に、FIPSが承認したアルゴリズムのユーザーパスワードをリセットします。
デュアル ルーティング エンジンで設定するための手動 IPsec SA を設定します。
ログ ファイルと監査ファイルで目的のイベントを調べます。
デバイス上のユーザー生成ファイルとデータを消去(ゼロ化)します。
FIPS ユーザーの役割と責任
セキュリティー管理者を含むすべての FIPS ユーザーが構成を表示できます。セキュリティー管理者として割り当てられたユーザーのみが構成を変更できます。
セキュリティ管理者を他の FIPS ユーザーと区別するアクセス権は、 secret、 security、 maintenance、および controlです。FIPS に準拠するには、これらのアクセス許可 のいずれも含まれていない クラスに FIPS ユーザーを割り当てます。
FIPS ユーザーは、デバイス上でネットワーク機能を設定し、FIPS の動作モードに固有ではないその他のタスクを実行します。セキュリティ管理者ではない FIPS ユーザーは、リブートを実行し、ステータス出力を表示できます。
すべての FIPS ユーザーに期待されること
セキュリティー管理者を含むすべての FIPS ユーザーは、セキュリティー・ガイドラインを常に遵守する必要があります。
すべての FIPS ユーザーは、次の条件を満たしている必要があります。
すべてのパスワードは機密にしてください。
デバイスとドキュメントは安全な場所に保管してください。
安全な場所にデバイスを展開します。
監査ファイルを定期的に確認してください。
他のすべての FIPS 140-3 セキュリティ規則に準拠します。
以下のガイドラインに従います。
ユーザーは信頼されています。
ユーザーはすべてのセキュリティガイドラインを遵守します。
ユーザーが意図的にセキュリティを侵害することはありません。
ユーザーは常に責任を持って行動します。
デバイスへのファームウェアの読み込み
Junos OS 22.2R2 FIPSイメージは、ECDSAで署名されたファームウェアのみを受け入れ、RSA + SHA1で署名されたファームウェアを拒否します。ECDSA 署名済みのみのイメージから RSA + SHA1 で署名されたイメージにダウングレードすることはできません。このシナリオでは、vSRX デバイスはファームウェアをロードしません。ファームウェア イメージに埋め込まれた証明書が有効でない場合も、読み込みは失敗します。