設定暗号化用のマスターパスワード

共有シークレットの強化を理解する

現在、Junos OSの既存の共有シークレット(9ドル形式)は難読化アルゴリズムを使用していますが、これは設定シークレットの暗号化としてはあまり強力ではありません。設定シークレットに強力な暗号化が必要な場合は、マスターパスワードを設定できます。マスターパスワードは、AES256-GCMで設定シークレットを暗号化するために使用される暗号化キーを取得するために使用されます。この新しい暗号化方法では、$8$ フォーマットの文字列を使用します。

Junos OSリリース15.1X49-D50およびJunos OS Evolvedリリース22.4R1以降、システムマスターパスワードを設定する新しいCLIコマンドが導入され、設定シークレットの暗号化を強化します。マスターパスワードは、RADIUSパスワード、IKE事前共有キー、およびJunos OS管理プロセス(mgd)構成内のその他の共有シークレットなどのシークレットを暗号化します。マスターパスワード自体は、設定の一部として保存されません。パスワードの品質は強度について評価され、脆弱なパスワードが使用されている場合はデバイスからフィードバックが得られます。

マスターパスワードは、暗号化キーを生成するためのパスワードベース鍵導出機能(PBKDF2)への入力として使用されます。この鍵は、ガロア/カウンターモード(AES256-GCM)の高度な暗号化標準への入力として使用されます。ユーザーが入力したプレーンテキストは、暗号化アルゴリズム(キー付き)によって処理され、暗号化テキスト(暗号テキスト)が生成されます。図1を参照してください

図1:マスターパスワード暗号化

$8$の設定シークレットは、同じマスターパスワードを使用するデバイス間でのみ共有できます。

$8$で暗号化されたパスワードの形式は次のとおりです。

$8$crypt-algo$hash-algo$iterations$salt$iv$tag$encrypted。マスターパスワードの形式の詳細については、表1を参照してください。

ASCII64エンコーディングはBase64(RFC 4648)と互換性がありますが、文字列を短くするためにパディング(文字 "=")が使用されていない点が異なります。たとえば、 $8$aes256-gcm$hmac-sha2-256$100$y/4YMC4YDLU$fzYDI4jjN6YCyQsYLsaf8A$Ilu4jLcZarD9YnyD /Hejww$okhBlc0cGakSqYxKww

制限事項

TPM を使用した設定ファイルの整合性機能には、次の制限と例外が適用されます。

• マスター暗号化パスワードが設定されていない場合、データは暗号化されずに保存されます。

• ファイル整合性機能は、EEPROM に保存された鍵を使用するコンフィギュレーション ファイル暗号化機能とともにサポートされていません。一度に有効にできる機能は1つだけです。

• シャーシクラスターでは、両方のノードに同じTPM設定が必要です。つまり、シャーシクラスターの両方のノードでTPMを有効にするか、シャーシクラスターの両方のノードでTPMを無効にする必要があります。シャーシ クラスターで、1 つのノードが TPM 有効に設定され、もう 1 つのノードが TPM 無効に設定されてはなりません。

マスター暗号化パスワードの設定

マスター暗号化パスワードを構成する前に、構成済み set system master-password plain-text-password しないと、特定の機密データがTPMによって保護されないことを確認してください。

以下のCLIコマンドを使用して、マスター暗号化パスワードを設定します。

request security tpm master-encryption-password set plain-text-password

これらのパスワードが一致していることを確認するために、マスター暗号化パスワードを 2 回入力するように求められます。マスター暗号化パスワードは、必要なパスワード強度について検証されます。

マスター暗号化パスワードが設定されると、システムはTPMチップが所有および保護するマスターバインディングキーによって暗号化されたマスター暗号化パスワードで機密データの暗号化に進みます。

TPM のステータスの検証

show security tpm status コマンドを使用して、TPM の状態を確認できます。以下の情報が表示されます。

• TPMの有効/無効

• TPMの所有権

• TPM のマスター バインディング キーの状態 (作成済みまたは作成されていません)

• マスター暗号化パスワードのステータス(設定または未設定)

Junos OSリリース15.1X49-D120およびJunos OSリリース17.4R1以降、トラステッドプラットフォームモジュール(TPM)ファームウェアが更新されました。アップグレードされたファームウェアバージョンでは、追加の安全な暗号化が提供され、セキュリティが向上します。更新されたTPMファームウェアは、Junos OSパッケージとともに利用できます。TPM ファームウェアのアップデートについては、 SRX デバイスでの TPM ファームウェアのアップグレードを参照してください。TPM ファームウェアのバージョンを確認するには、 show security tpm status コマンドを使用します。 TPM Family と TPM Firmware version の出力フィールドが導入されました。

マスター暗号化パスワードの変更

マスター暗号化パスワードの変更は、CLIを使用して行います。

マスター暗号化パスワードを変更するには、動作モードから以下のコマンドを入力します。

request security tpm master-encryption-password set plain-text-password

マスター暗号化パスワードがすでに設定されているかどうかを確認します。マスター暗号化パスワードが設定されている場合は、現在のマスター暗号化パスワードを入力するよう求められます。

入力されたマスター暗号化パスワードは、現在のマスター暗号化パスワードと照合して検証され、これらのマスター暗号化パスワードが一致していることを確認します。検証に成功すると、新しいマスター暗号化パスワードをプレーンテキストとして入力するように求められます。パスワードを検証するために、キーを2回入力するように求められます。

その後、システムは新しいマスター暗号化パスワードで機密データの再暗号化に進みます。この再暗号化プロセスが完了するまで待ってから、マスター暗号化パスワードの変更を再試行する必要があります。

何らかの理由で暗号化されたマスター暗号化パスワード ファイルが紛失または破損した場合、システムは機密データを復号化できません。システムを復元するには、機密データをクリアテキストで再インポートし、再暗号化する必要があります。

システムが侵害された場合、管理者は以下の方法を使用してシステムを復元できます。

• u-bootでTPMの所有権をクリアし、TFTPまたはUSBを使用してブートローダーにイメージをインストールします(USBポートが制限されていない場合)。

制限事項

• マスター暗号化キー(MEK)が削除されている場合、データを復号化することはできません。MEKを削除するには、デバイスをゼロ化する必要があります。

• ルーティングエンジンをダウングレードするには、ルーティングエンジンをゼロ化する必要があります。デバイスがゼロ化されたら、この機能をサポートしていないイメージに安全にダウングレードできます。

• デュアルルーティングエンジン構成で、バックアップルーティングエンジンを復旧する必要がある場合、MEK不一致により、GRESを無効にし、バックアップルーティングエンジンをゼロ化する必要があります。バックアップルーチンエンジンが起動したら、マスターREで request security tpm master-encryption-password set plain-text-password コマンドを使用してMEKを設定します。

• デュアルルーティングエンジン構成では、バックアップルーティングエンジンを交換する必要がある場合、デュアルルーティングエンジン構成を追加する前にまず新しいバックアップルーティングエンジンをゼロ化し、GRES を無効にして、コマンドを使用してマスター RE で MEK を再設定する必要があります request security tpm master-encryption-password set plain-text-password 。

• デバイスで OSPF、IS-IS、MACsec、BGP、VRRP を設定し、マスターパスワードをリセットすると、ルーティング/dot1x サブシステムがアクティブになるまでの時間(秒単位)があります。

• デバイスでマスターパスワード、MEK、OSPF、IS-IS、MACsec、BGP、VRRP を設定し、デバイスを再起動すると、ルーティング/dot1x サブシステムがアクティブになるまでの時間(秒)があります。