FIPS 모드에서 Junos OS의 운영 환경 이해
FIPS 모드에서 주니퍼 네트웍스 Junos 운영 체제(Junos OS)를 실행하는 주니퍼 네트웍스 디바이스는 비 FIPS 모드의 디바이스 환경과는 다른 특수한 유형의 하드웨어 및 소프트웨어 운영 환경을 형성합니다.
FIPS 모드의 Junos OS를 위한 하드웨어 환경
FIPS 모드의 Junos OS는 일반 텍스트를 사용하여 CSP(Critical Security Parameters)가 교차할 수 없는 암호화 경계를 디바이스에 설정합니다. FIPS 140-2 준수를 위해 암호화 경계가 필요한 디바이스의 각 하드웨어 구성 요소는 별도의 암호화 모듈입니다. FIPS 모드의 Junos OS에는 암호화 경계를 가진 두 가지 유형의 하드웨어가 있습니다: 각 라우팅 엔진에 대해 하나씩, LC MPC7E-10G 카드를 포함하는 전체 섀시에 대해 하나씩. 각 구성 요소는 별도의 암호화 모듈을 형성합니다. 이러한 보안 환경 간의 CSP 관련 통신은 암호화를 사용하여 이루어져야 합니다.
암호화 방법은 물리적 보안을 대체할 수 없습니다. 하드웨어는 안전한 물리적 환경에 위치해야 합니다. 모든 유형의 사용자는 키나 암호를 공개해서는 안 되며, 권한이 없는 사람이 서면 기록이나 메모를 볼 수 있도록 허용해서는 안 됩니다.
FIPS 모드의 Junos OS를 위한 소프트웨어 환경
FIPS 모드에서 Junos OS를 실행하는 주니퍼 네트웍스 디바이스는 특별한 유형의 수정 불가능한 운영 환경을 형성합니다. 디바이스에서 이러한 환경을 구현하기 위해 시스템은 FIPS 모드 배포에서 인증된 Junos OS의 일부가 아닌 바이너리 파일의 실행을 방지합니다. 디바이스가 FIPS 모드인 경우 Junos OS만 실행할 수 있습니다.
FIPS 모드 소프트웨어 환경의 Junos OS는 Crypto Officer가 디바이스에서 FIPS 모드를 성공적으로 활성화한 후에 설정됩니다. FIPS 모드가 포함된 Junos OS 이미지는 주니퍼 네트웍스 웹 사이트에서 제공되며 작동하는 디바이스에 설치할 수 있습니다.
FIPS 140-2 규정 준수를 위해 FIPS 모드를 사용하도록 설정하기 전에 디바이스를 0으로 설정하여 사용자가 만든 모든 파일 및 데이터를 삭제하는 것이 좋습니다.
FIPS 레벨 1에서 디바이스를 작동하려면 변조 방지 레이블을 사용하여 라우팅 엔진을 섀시에 봉인해야 합니다.
FIPS 모드를 활성화하면 많은 일반적인 Junos OS 프로토콜 및 서비스가 비활성화됩니다. 특히 FIPS 모드에서는 Junos OS에서 다음 서비스를 구성할 수 없습니다.
-
손가락
-
Ftp
-
rlogin
-
텔넷
-
Tftp
-
xnm-일반 텍스트
이러한 서비스를 구성하거나 이러한 서비스가 구성된 구성을 로드하려고 하면 구성 구문 오류가 발생합니다.
SSH만 원격 액세스 서비스로 사용할 수 있습니다.
FIPS 모드에서 Junos OS로 업그레이드한 후 사용자에 대해 설정된 모든 암호는 FIPS 모드 사양의 Junos OS를 준수해야 합니다. 암호는 10자에서 20자 사이여야 하며 정의된 5개의 문자 집합 중 3개 이상을 사용해야 합니다(대문자 및 소문자, 숫자, 구두점 및 기타 4가지 범주에 포함되지 않는 % 및 &와 같은 키보드 문자). 이러한 규칙을 따르지 않는 암호를 구성하려고 하면 오류가 발생합니다. 피어를 인증하는 데 사용되는 모든 암호와 키의 길이는 10자 이상이어야 하며, 경우에 따라 길이가 다이제스트 크기와 일치해야 합니다.
Crypto Officer가 로컬 콘솔 연결에서 구성을 완료할 때까지 디바이스를 네트워크에 연결하지 마십시오.
엄격한 규정 준수를 위해 일부 CSP가 일반 텍스트로 표시될 수 있으므로 FIPS 모드에서 Junos OS의 로컬 콘솔에 대한 코어 및 크래시 덤프 정보를 검사하지 마십시오.
중요한 보안 매개 변수
CSP(중요 보안 매개 변수)는 암호화 키 및 암호와 같은 보안 관련 정보로, 암호화 모듈의 보안 또는 공개 또는 수정된 경우 모듈에 의해 보호되는 정보의 보안을 손상시킬 수 있습니다.
시스템을 영점화하면 디바이스 라우팅 엔진을 암호화 모듈로 운영하기 위해 CSP의 모든 흔적이 지워집니다.
표 1 에는 Junos OS를 실행하는 디바이스의 CSP가 나와 있습니다.
Csp |
설명 |
제로화 |
사용 |
---|---|---|---|
SSHv2 개인 호스트 키 |
호스트를 식별하는 데 사용되는 ECDSA/RSA 키로, SSH를 처음 구성할 때 생성됩니다. |
영점 조정 명령. |
호스트를 식별하는 데 사용됩니다. |
SSHv2 세션 키 |
SSHv2와 함께 사용되며 Diffie-Hellman 개인 키로 사용되는 세션 키입니다. 암호화: AES-128, AES-192, AES-256. 맥: HMAC-SHA-1, HMAC-SHA-2-2-256, HMAC-SHA2-512. 키 교환: dh-group14-sha1, ECDH-sha2-nistp-256, ECDH-sha2-nistp-384 및 ECDH-sha2-nistp-521. |
전원을 껐다가 켜고 세션을 종료합니다. |
호스트와 클라이언트 간의 데이터를 암호화하는 데 사용되는 대칭 키입니다. |
사용자 인증키 |
사용자 암호의 해시: SHA256, SHA512. |
영점 조정 명령. |
암호화 모듈에 대해 사용자를 인증하는 데 사용됩니다. |
암호화 담당자 인증 키 |
암호화 담당자 암호의 해시: SHA256, SHA512. |
영점 조정 명령. |
암호화 모듈에 암호화 담당자를 인증하는 데 사용됩니다. |
HMAC DRBG 시드 |
DRBG(Deterministic Randon Bit Generator)의 시드입니다. |
시드는 암호화 모듈에 의해 저장되지 않습니다. |
DRBG 시드에 사용됩니다. |
HMAC DRBG V 값 |
비트 단위의 출력 블록 길이(outlen) 값(V)으로, 출력의 다른 outlen 비트가 생성될 때마다 업데이트됩니다. |
전원을 껐다 켭니다. |
DRBG의 내부 상태에 대한 임계 값입니다. |
HMAC DRBG 키 값 |
DRBG 메커니즘이 의사 난수 비트를 생성할 때마다 한 번 이상 업데이트되는 outlen-bit 키의 현재 값입니다. |
전원을 껐다 켭니다. |
DRBG의 내부 상태에 대한 임계 값입니다. |
NDRNG 엔트로피 |
HMAC DRBG에 대한 엔트로피 입력 문자열로 사용됩니다. |
전원을 껐다 켭니다. |
DRBG의 내부 상태에 대한 임계 값입니다. |
FIPS 모드의 Junos OS에서 모든 CSP는 암호화된 형태로 암호화 모듈을 입력하고 나가야 합니다. 승인되지 않은 알고리즘으로 암호화된 모든 CSP는 FIPS에서 일반 텍스트로 간주됩니다.
FIPS 규정 준수를 위해 암호화된 연결이므로 SSH 연결을 통해 디바이스를 구성합니다.
로컬 암호는 SHA256 또는 SHA512 알고리즘으로 해시됩니다. FIPS 모드의 Junos OS에서는 비밀번호 복구가 불가능합니다. FIPS 모드의 Junos OS는 올바른 루트 암호 없이 단일 사용자 모드로 부팅할 수 없습니다.