이 페이지의 내용
FIPS 용어 및 지원되는 암호화 알고리즘 이해
FIPS 용어의 정의와 지원되는 알고리즘을 사용하면 FIPS 모드의 Junos OS를 이해하는 데 도움이 됩니다.
용어
| Critical security parameter (CSP) | 보안 관련 정보(예: 비밀 및 개인 암호화 키와 암호 및 개인 식별 번호(PIN)와 같은 인증 데이터) - 공개 또는 수정 시 암호화 모듈 또는 암호화 모듈이 보호하는 정보의 보안이 손상될 수 있습니다. 자세한 내용은 FIPS 모드에서 Junos OS의 운영 환경 이해를 참조하십시오. |
| Cryptographic module | 승인된 보안 기능(암호화 알고리즘 및 키 생성 포함)을 구현하고 암호화 경계 내에 포함된 하드웨어, 소프트웨어 및 펌웨어 집합입니다. |
| FIPS | 연방 정보 처리 표준(Federal Information Processing Standards). FIPS 140-2는 보안 및 암호화 모듈에 대한 요구 사항을 지정합니다. FIPS 모드의 Junos OS는 FIPS 140-2 Level 1을 준수합니다. |
| FIPS maintenance role | 암호화 담당자가 하드웨어 또는 소프트웨어 진단과 같은 물리적 유지 관리 또는 논리적 유지 관리 서비스를 수행하기 위해 맡는 역할입니다. FIPS 140-2 규정 준수를 위해 Crypto Officer는 FIPS 유지 관리 역할을 시작하고 종료할 때 라우팅 엔진을 제로화하여 모든 일반 텍스트 비밀 및 개인 키와 보호되지 않은 CSP를 지웁니다.
참고:
FIPS 유지 관리 역할은 FIPS 모드의 Junos OS에서 지원되지 않습니다. |
| KATs | 알려진 답변 테스트. FIPS에 대해 승인된 암호화 알고리즘의 출력을 검증하고 일부 Junos OS 모듈의 무결성을 테스트하는 시스템 자체 테스트. 자세한 내용은 FIPS 자체 테스트 이해를 참조하십시오. |
| SSH | 보안되지 않은 네트워크에서 원격 액세스를 위해 강력한 인증 및 암호화를 사용하는 프로토콜입니다. SSH는 원격 로그인, 원격 프로그램 실행, 파일 복사 및 기타 기능을 제공합니다. UNIX 환경에서 , |
| Zeroization | FIPS 암호화 모듈로 작동하기 전에 또는 비 FIPS 작업을 위해 디바이스의 용도 변경을 준비하기 전에 디바이스에서 모든 CSP 및 기타 사용자 생성 데이터를 삭제합니다. Crypto Officer는 CLI 운영 명령으로 시스템을 영점화할 수 있습니다. |
지원되는 암호화 알고리즘
표 1 에는 하이 레벨 프로토콜 알고리즘 지원이 요약되어 있습니다.
| 프로토콜 |
키 교환 |
인증 |
암호화 |
무결성 |
|---|---|---|---|---|
| SSHv2 |
|
호스트(모듈):
클라이언트(사용자):
|
|
|
표 2 에는 MACsec LC 지원 암호가 나열되어 있습니다.
| MACsec LC 지원 암호 |
|---|
| AES-GCM-128 |
| AES-GCM-256 |
알고리즘의 각 구현은 일련의 알려진 답변 테스트(KAT) 자체 테스트를 통해 확인됩니다. 자체 테스트 실패로 인해 FIPS 오류 상태가 됩니다.
FIPS 140-2 규정 준수를 위해 FIPS 모드의 Junos OS에서 FIPS 승인 암호화 알고리즘만 사용하십시오.
FIPS 모드에서 지원되는 암호화 알고리즘은 다음과 같습니다. 대칭 방법은 암호화와 복호화에 동일한 키를 사용하는 반면, 비대칭 방법은 암호화와 복호화에 서로 다른 키를 사용합니다.
| AES | FIPS PUB 197에 정의된 AES(Advanced Encryption Standard)입니다. AES 알고리즘은 128비트, 192비트 또는 256비트의 키를 사용하여 128비트 블록의 데이터를 암호화하고 해독합니다. |
| ECDH | 타원 곡선 Diffie-Hellman. Diffie-Hellman 키 교환 알고리즘의 변형으로, 유한 필드에 대한 타원 곡선의 대수 구조를 기반으로 하는 암호화를 사용합니다. ECDH를 사용하면 각각 타원 곡선 퍼블릭-프라이빗 키 쌍을 가진 두 당사자가 안전하지 않은 채널을 통해 공유 암호를 설정할 수 있습니다. 공유 암호는 키로 사용하거나 대칭 키 암호를 사용하여 후속 통신을 암호화하기 위한 다른 키를 파생하는 데 사용할 수 있습니다. |
| ECDSA | 타원 곡선 디지털 서명 알고리즘. DSA(Digital Signature Algorithm)의 변형으로, 유한 필드에 대한 타원 곡선의 대수 구조를 기반으로 하는 암호화를 사용합니다. 타원 곡선의 비트 크기는 키 암호 해독의 어려움을 결정합니다. ECDSA에 필요한 것으로 여겨지는 공개 키는 보안 수준 크기의 약 두 배(비트 단위)입니다. P-256, P-384 및 P-521 곡선을 사용하는 ECDSA는 OpenSSH에서 구성할 수 있습니다. |
| HMAC | RFC 2104에서 "메시지 인증을 위한 키 해시"로 정의된 HMAC는 메시지 인증을 위해 해시 알고리즘과 암호화 키를 결합합니다. FIPS 모드의 Junos OS의 경우, HMAC는 비밀 키와 함께 반복된 암호화 해시 함수 SHA-1, SHA-256 및 SHA-512를 사용합니다. |
| SHA-256 and SHA-512 | FIPS PUB 180-2에 정의된 SHA-2 표준에 속하는 SHA(Secure Hash Algorithms)입니다. NIST에서 개발한 SHA-256은 256비트 해시 다이제스트를 생성하고 SHA-512는 512비트 해시 다이제스트를 생성합니다. |