Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの目次
 

IDP SSLインスペクション

セキュアソケットレイヤー(SSL)は、トランスポートレイヤーセキュリティ(TLS)とも呼ばれ、認証、機密性、およびメッセージの整合性を提供するWebセキュリティ用のプロトコルスイートです。認証は、WebブラウザがWebサーバーのIDを検証できるようにすることで、不正な送信から保護します。機密性メカニズムにより、通信はプライベートになります。SSLは、データを暗号化して機密性を強制し、権限のないユーザーが電子通信を盗聴するのを防ぎます。最後に、メッセージの整合性により、通信の内容が改ざんされていないことが保証されます。

詳細については、次のトピックを参照してください。

IDP SSL の概要

各 SSL セッションはハンドシェークで始まり、その間にクライアントとサーバーは、そのセッションに使用する特定のセキュリティー・キーと暗号化アルゴリズムについて合意します。このとき、クライアントはサーバーも認証します。オプションで、サーバーはクライアントを認証できます。ハンドシェイクが完了すると、暗号化されたデータの転送を開始できます。

ジュニパーネットワークスは、異なるSSLバージョン、暗号方式、鍵交換方法で構成されるSSLプロトコルスイートを使用する侵入検出および防止(IDP)SSLインスペクションを提供しています。アプリケーション識別機能と組み合わせることで、SSLインスペクション機能を使用すると、SRXシリーズファイアウォールは、任意のポートでSSLで暗号化されたHTTPトラフィックを検査できます。以下の SSL プロトコルがサポートされています。

  • SSLv2

  • SSLv3

  • ティッカー

関連項目

サポートされているIDP SSL暗号

SSL 暗号は、暗号化暗号、認証方法、および圧縮で構成されます。Junos OSは、一時的な秘密鍵の使用を伴わない、OPENSSLがサポートするすべての暗号をサポートしています。認証では、NULL、MD5、および SHA-1 認証方式がサポートされています。

手記：

圧縮および SSLv2 暗号はサポートされていません。現在、ほとんどのSSLサーバーは、クライアントの「hello」メッセージでSSLv2暗号を受信すると、TLS暗号に自動的にアップグレードされます。ブラウザをチェックして、暗号の強度とブラウザがサポートする暗号を確認してください。(その暗号方式がサポートされている暗号方式のリストにない場合、ディープパケットインスペクションでセッションは無視されます)。

表1 は、SRXシリーズファイアウォールでサポートされている暗号化アルゴリズムを示しています。

表 1: サポートされている暗号化アルゴリズム
暗号 拡張型 キーマテリアル 拡張キーマテリアル 有効キービット IVサイズ

ヌル

いいえ

川

0

0

0

該当なし

DES-CBC-SHA

いいえ

ブロック

8

8

56

8

DES-CBC3-SHA

いいえ

ブロック

24

24

168

8

AES128-SHA

いいえ

ブロック

16

16

128

16

AES256-SHA

いいえ

ブロック

32

32

256

16

暗号化アルゴリズムの詳細については、「IPsec VPN の概要 /documentation/us/en/software/junos/vpn-ipsec/topics/topic-map/security-ipsec-vpn-overview.html」を参照してください。 表 2 に、サポートされている SSL 暗号を示します。

表 2: サポートされている SSL 暗号
暗号スイート 値

TLS_RSA_WITH_NULL_MD5

TLS_RSA_WITH_NULL_SHA

TLS_RSA_WITH_DES_CBC_SHA

TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS_RSA_WITH_AES_128_CBC_SHA

TLS_RSA_WITH_AES_256_CBC_SHA

0x0001

0x0002

0x0009

0x000A

0x002F

0x0035
手記：

RC4 および IDEA 暗号は、ライセンスおよび OPENSSL ライブラリーが使用可能なため、サポートされません。

IDPインターネット鍵交換について

インターネット鍵交換 (IKE) は、一括データ暗号化および認証用の対称鍵の生成に使用されるプレマスター秘密鍵を確立します。RFC 2246 のセクション F.1.1 では、トランスポート層セキュリティ(TLS)認証と鍵交換の方法が定義されています。3つの主要な交換方法は次のとおりです。

  • RSA—Rivest-Shamir-Adleman (RSA) は、参加者が対称鍵または SSL セッション中に使用される秘密鍵を作成する方法を制御する鍵交換アルゴリズムです。RSA 鍵交換アルゴリズムは、最も一般的に使用される方法です。

  • DSA:デジタル署名アルゴリズム(DSA)は、IKEフェーズ1プロポーザルに認証オプションを追加します。DSA は RSA と同様に設定および動作するため、ユーザーは DSA 証明書をインポートまたは作成し、DSA を使用するための IKE プロポーザルを設定する必要があります。デジタル証明書は、IKE プロトコルにおける RSA 署名、DSA 署名、および RSA 公開キー暗号化ベースの認証方法に使用されます。

  • Diffie-Hellman— Diffie-Hellman(DH)は、参加者が共有シークレット値を生成できるようにする鍵交換方法です。この手法の利点は、参加者が、通信を通して秘密値を渡さずに、安全でないメディアを介して秘密値を作成できるということです。

キー交換方法では、固定サーバー キーまたは一時サーバー キーを使用できます。IDPは、固定サーバーキーが使用されている場合にのみ、プレマスターシークレットを正常に取得できます。インターネット鍵交換の詳細については、 Junos OS の PKI の基本要素を参照してください。

手記：

ジュニパーIDPは、Diffie-Hellman鍵交換を使用するSSLセッションを復号化しません。

IDP 暗号化キー処理の概要

侵入検出および防止(IDP)セキュアソケットレイヤー(SSL)復号化機能を使用すると、SRXシリーズファイアウォールは設定されたRSAプライベートキーをメモリにロードし、それらを使用してデータを復号化するためのSSLセッションキーを確立します。IDPは、RSAキーを復号化し、キーを使用して通常の暗号化または復号化操作を実行する前に整合性を確認する必要があります。

この機能の主な目的は、IDP で使用される RSA 秘密キーがプレーン テキストとして、または簡単に理解できる形式または使用可能な形式で格納されないようにすることです。キーは、通常の暗号化または復号化操作を実行するために復号化されます。この機能には、あるメモリ位置から別のメモリ位置へのキーのコピー中のエラー検出チェック、およびキーが不要になったときに中間ストレージをゼロ以外のパターンで上書きすることも含まれます。

この機能を有効にするには、 set security idp sensor-configuration ssl-inspection key-protection CLI コンフィギュレーション コマンドを使用します。

IDP SSLサーバーキー管理とポリシー設定について

デバイスは、最大 1000 個のサーバー秘密キーをサポートできます。各キーには、それを使用する最大 100 台のサーバーを含めることができます。基本的に各SPUはすべてのキーにアクセスできる必要があるため、この容量はデバイスで使用可能なSPUの数に関係なく同じです。

複数のサーバーが同じ秘密キーを共有できます。ただし、1 つのサーバーが持つことができる秘密キーは 1 つだけです。SSL 復号化はデフォルトで無効になっています。プレーンキーと暗号化されたキーの両方がサポートされています。

手記：

Junos OSはSSLキーファイルを暗号化しません。
手記：

SSL セッション ID キャッシュ・タイムアウト・パラメーターの値は、 set security idp sensor-configuration ssl-inspection session-id-cache-timeout コマンドを使用して設定できます。キャッシュ タイムアウト パラメーターの既定値は 600 秒です。

IDP SSLインスペクションの設定(CLI手順)

SSL デコーダーは既定で有効になっています。CLI を使用して手動で有効にする必要がある場合は、次の CLI コマンドを使用します。

IDP SSLインスペクションを設定するには、次のCLI手順を使用します。

これで、センサーはキーとサーバーのペアがあるトラフィックを検査します。

手記：

SPU ごとにサポートされる最大セッション数: デフォルト値は 10,000 で、範囲は 1 から 100,000 です。セッション制限は SPU ごとであり、デバイス上の SPU の数に関係なく同じです。

IDP SSL キーと関連サーバーの追加

キーをインストールするときに、キーをパスワードで保護し、サーバーに関連付けることもできます。

プライバシー拡張メール (PEM) キーをインストールするには、次の CLI コマンドを使用します。

手記：

2ノードのSRXシリーズクラスターでは、リクエストコマンドを成功させるには、同じ場所にあるノード0とノード1の両方にキーを手動でコピーする必要があります。

また、add server CLI コマンドを使用して、後でキーをサーバーに関連付けることもできます。サーバーは 1 つのキーにのみ関連付けることができます。インストールしたキーにサーバーを関連付けるには、次の CLI コマンドを使用します。

手記：

キー名の最大長は、末尾の "\0" を含めて 32 バイトです。

IDP SSL キーと関連サーバーの削除

  • すべてのキーとサーバーを削除するには、次の CLI コマンドを使用します。

    インストールされているすべてのキーは、関連付けられているサーバーとともに削除されます。

  • 特定のキーと、そのキーに関連付けられているすべてのサーバーを削除するには、次の CLI コマンドを使用します。

    指定したキーと、そのキーに関連付けられているすべてのサーバーを削除します。

  • 1 台のサーバーを削除するには、次の CLI コマンドを使用します。

    指定したキーにバインドされている指定したサーバーを削除します。

IDP SSL キーと関連サーバーの表示

  • インストールされているすべてのサーバ キーと関連サーバを表示するには、次の CLI コマンドを使用します。

    すべてのサーバー キーと、それらのキーにバインドされている IP アドレスを表示します。以下の例は、 show security idp ssl-inspection key コマンドを使用した場合の CLI 出力を示しています。

  • 特定のキーにバインドされた IP アドレスを表示するには、次の CLI コマンドを使用します。

    以下に、 show security idp ssl-inspection key <key-name> コマンドを使用したときに受け取る CLI 出力の例を示します。

例:SSL プロキシが有効な場合の IDP の設定

この例では、SSL プロキシが有効になっている場合に、IDP がアプリケーション識別 (AppID) 機能をサポートする方法について説明します。

必要条件

始める前に:

概要

この例では、SSLプロキシが有効になっている場合にポリシールールでIDPを設定する方法を示しています。

構成

CLIクイック構成

この例をすばやく設定するには、次のコマンドをコピーしてテキストファイルに貼り付け、改行を削除して、ネットワーク構成に合わせて必要な詳細を変更し、コマンドをコピーして [edit] 階層レベルのCLIに貼り付け、設定モードから commit を入力します。

プロシージャ

手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、 CLIユーザー ガイドの 設定モードでのCLIエディターの使用を参照してください。

この例では、アプリケーションサービスとしてIDPを使用するセキュリティポリシーを設定します。

  1. SSL プロキシー・プロファイル ssl-profile-1 を使用してトラフィックを処理するポリシーを設定します。

  2. IDPをアプリケーションサービスとして定義します。

業績

設定モードから、 show security policies コマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

検証

設定が正常に機能していることを確認します。IDP での検証は、アプリケーションファイアウォールでの検証に似ています。 アプリケーションファイアウォールを参照してください。

関連項目

関連ドキュメント

変更履歴テーブル

機能のサポートは、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がプラットフォームでサポートされているかどうかを判断します。

解放
形容
15.1X49-D100
15.1X49 以降、IDP SSL インスペクション機能は廃止されました。ジュニパーでは、 SSLプロキシ機能の使用を推奨します。