구성 암호화를 위한 마스터 암호

공유 비밀 강화에 대한 이해

Junos OS의 기존 공유 암호($9$ 형식)는 현재 난독화 알고리즘을 사용하는데, 이는 구성 암호에 대해 그다지 강력한 암호화가 아닙니다. 구성 암호에 대해 강력한 암호화를 원할 경우 마스터 암호를 구성할 수 있습니다. 마스터 암호는 구성 암호를 암호화하기 위해 AES256-GCM과 함께 사용되는 암호화 키를 파생하는 데 사용됩니다. 이 새로운 암호화 방법은 $8$ 형식의 문자열을 사용합니다.

이 명령을 사용하여 [edit system master-password plain-text-password]구성 암호에 대해 더 강력한 암호화를 제공하기 위해 시스템 마스터 암호를 구성할 수 있습니다. 마스터 암호는 RADIUS 암호, IKE 사전 공유 키 및 Junos OS 관리 프로세스(mgd) 구성의 기타 공유 암호와 같은 암호를 암호화합니다. 마스터 비밀번호 자체는 구성의 일부로 저장되지 않습니다. 암호 품질은 강도에 대해 평가되며, 취약한 암호가 사용되는 경우 디바이스가 피드백을 제공합니다. 강력한 암호는 최소 12자 이상이어야 하며 대문자, 소문자, 숫자, 구두점 및 기타 특수 문자 등 문자 클래스 중 적어도 세 가지를 포함해야 합니다.

마스터 암호는 암호 기반 키 도출 기능(PBKDF2)에 대한 입력으로 사용되어 암호화 키를 생성합니다. 키는 Galois/Counter Mode(AES256-GCM)에서 Advanced Encryption Standard에 대한 입력으로 사용됩니다. 사용자가 입력하는 일반 텍스트는 암호화 알고리즘(키 포함)에 의해 처리되어 암호화된 텍스트(암호 텍스트)가 생성됩니다. 그림 1 참조

그림 1: 마스터 암호 암호화

$8$ 구성 암호는 동일한 마스터 암호를 사용하는 디바이스 간에만 공유할 수 있습니다.

$8$로 암호화된 암호의 형식은 다음과 같습니다.

$8$crypt-algo$hash-algo$iterations$salt$iv$tag$encrypted. 마스터 비밀번호 형식에 대한 자세한 내용은 표 1을 참조하십시오.

ASCII64 인코딩은 문자열을 짧게 유지하기 위해 패딩(문자 "=")이 사용되지 않는 것을 제외하고는 Base64(RFC 4648)와 호환됩니다. 예를 들면 다음과 같습니다. $8$aes256-gcm$hmac-sha2-256$100$y/4YMC4YDLU$fzYDI4jjN6YCyQsYLsaf8A$Ilu4jLcZarD9YnyD /Hejww$okhBlc0cGakSqYxKww

명령을 사용하여 request system decrypt password $9$ 암호를 일반 텍스트 암호로 복호화할 수 있습니다.

명령을 사용하고 request system decrypt password Master password:. 요청 시스템 암호 해독을 참조하십시오.

마스터 암호화 암호 구성

CLI 명령을 사용하여 request security tpm master-encryption-password set plain-text-password 마스터 암호화 암호를 구성할 수 있습니다.

마스터 암호화 암호가 일치하는지 확인하기 위해 마스터 암호화 암호를 두 번 입력하라는 메시지가 표시됩니다. 마스터 암호화 암호는 필요한 암호 강도에 대해 유효성이 검사됩니다.

마스터 암호화 비밀번호 설정에 문제가 있는 경우 콘솔에 중요한 오류 메시지가 기록되고 프로세스가 종료됩니다.

MEK로 마스터 비밀번호 암호화

이 모델을 더욱 강화하기 위해 TPM 2.0 지원을 통해 AES 기반 MEK를 사용하여 마스터 암호 자체를 암호화하고 암호화된 $8$ 비밀로 저장할 수 있습니다. 사용자가 CLI를 통해 MEK를 처음 구성할 때 mgd(관리 데몬)는 마스터 비밀번호 파일의 존재를 확인합니다. 존재하는 경우 mgd는 일반 텍스트 비밀번호를 읽고 MEK를 사용하여 암호화합니다.

마찬가지로 MEK가 구성된 후 사용자가 CLI를 통해 마스터 패스워드를 설정하거나 업데이트할 때, 패스워드는 파일에 기록되기 전에 암호화됩니다. 마스터 비밀번호에 액세스해야 하는 모든 애플리케이션은 먼저 MEK가 구성되었는지 확인합니다. 그렇다면 파일에서 암호화된 값을 읽고 사용하기 전에 런타임에 해독(바인딩 해제)하여 민감한 데이터가 일반 텍스트로 저장되지 않고 계층화된 암호화를 통해 보호되도록 합니다.

마스터 암호화 암호가 설정된 후 시스템은 TPM 칩이 소유하고 보호하는 마스터 바인딩 키에 의해 암호화되는 마스터 암호화 암호로 민감한 데이터를 암호화합니다.

마스터 암호화 암호 변경

CLI request security tpm master-encryption-password set plain-text-password 명령을 사용하여 마스터 암호화 암호를 변경할 수 있습니다.

마스터 암호화 암호가 이미 구성되어 있는지 확인합니다. 마스터 암호화 암호가 구성된 경우, 현재 마스터 암호화 암호를 입력하라는 메시지가 표시됩니다.

입력한 마스터 암호화 암호는 현재 마스터 암호화 암호에 대해 검증되어 이러한 마스터 암호화 암호가 일치하는지 확인합니다. 유효성 검사에 성공하면 새 마스터 암호화 비밀번호를 일반 텍스트로 입력하라는 메시지가 표시됩니다. 비밀번호의 유효성을 검사하기 위해 키를 두 번 입력하라는 메시지가 표시됩니다.

그런 다음 시스템은 새로운 마스터 암호화 암호로 민감한 데이터를 다시 암호화합니다. 마스터 암호화 비밀번호를 다시 변경하기 전에 이 재암호화 프로세스가 완료될 때까지 기다려야 합니다.

어떤 이유로 암호화된 마스터 암호화 암호 파일이 손실되거나 손상된 경우 시스템은 민감한 데이터를 해독할 수 없습니다. 민감한 데이터를 일반 텍스트로 다시 가져오고 다시 암호화해야만 시스템을 복구할 수 있습니다.

시스템이 손상된 경우 관리자는 다음 방법을 사용하여 시스템을 복구할 수 있습니다.

• u-boot에서 TPM 소유권을 지운 다음 TFTP 또는 USB를 사용하여 부트 로더에 이미지를 설치합니다(USB 포트가 제한되지 않은 경우).

제한 사항

TPM 2.0을 사용하는 구성 파일 무결성 기능에 다음과 같은 제한 사항이 적용됩니다.

• 마스터 암호화 암호가 설정되지 않은 경우 데이터는 암호화되지 않은 상태로 저장됩니다.

• 파일 무결성 기능은 EEPROM에 저장된 키를 사용하는 구성 파일 암호화 기능과 함께 지원되지 않습니다. 한 번에 하나의 기능만 활성화할 수 있습니다.

• 섀시 클러스터에서 두 노드 모두 동일한 TPM 설정을 가져야 합니다. 즉, 섀시 클러스터의 두 노드 모두 TPM을 사용하도록 설정하거나 섀시 클러스터의 두 노드 모두 TPM을 사용하지 않도록 설정해야 합니다. 섀시 클러스터에서 하나의 노드는 TPM을 사용하도록 설정하고 다른 노드는 TPM을 사용하지 않도록 설정해서는 안 됩니다.

TPM 상태 확인

명령을 사용하여 show security tpm status TPM의 상태를 확인할 수 있습니다. 다음 정보가 표시됩니다.

• TPM 사용/사용 안 함

• TPM 소유권

• TPM의 마스터 바인딩 키 상태(생성 또는 생성되지 않음)

• 마스터 암호화 암호 상태(설정 또는 미설정)

Junos OS 릴리스 15.1X49-D120 및 Junos OS 릴리스 17.4R1부터는 TPM(Trusted Platform Module) 펌웨어가 업데이트되었습니다. 업그레이드된 펌웨어 버전은 추가적인 보안 암호화를 제공하고 보안을 강화합니다. 업데이트된 TPM 펌웨어는 Junos OS 패키지와 함께 사용할 수 있습니다. TPM 펌웨어 업데이트는 SRX 디바이스에서 TPM 펌웨어 업그레이드를 참조하십시오. TPM 펌웨어 버전을 확인하려면 명령을 show security tpm status 사용합니다. TPM Family 및 TPM Firmware version 출력 필드가 도입되었습니다.

TPM 호환성 및 다운그레이드 고려 사항

MEK가 구성되고 작동된 후에는 TPM 기능을 지원하지 않는 Junos 버전으로 다운그레이드하는 것은 권장되지 않습니다. 이는 디바이스가 비 TPM 케이블 버전으로 재부팅된 후 TPM을 통해 암호화된 비밀을 해독할 수 없기 때문입니다.

TPM을 사용할 수 없는 이미지로 다운그레이드해야 하는 경우 먼저 디바이스를 영점화해야 합니다. 영점화 프로세스는 디바이스에 비밀이 포함되어 있지 않은지 확인하고 모든 키를 제거합니다. 영점화 후 디바이스는 원하는 비 TPM 지원 이미지로 다운그레이드됩니다.

섀시 클러스터 고려 사항

SRX 시리즈 방화벽에서 섀시 클러스터를 구성할 때 다음과 같은 중요한 제한 사항을 준수하십시오.

• 클러스터를 구축하기 전에 각 노드에서 개별적으로 마스터 암호를 구성해야 합니다. 모든 노드에서 동일한 마스터 암호를 사용해야 합니다.

• 섀시 클러스터 모드에서 마스터 암호화 키(MEK)가 구성된 경우:

  • 마스터 비밀번호는 삭제할 수 없습니다.

  • 필요한 경우 마스터 비밀번호를 재설정할 수 있습니다.

  • 마스터 비밀번호를 완전히 삭제하려면 라우팅 엔진(RE)을 영점화해야 합니다.

• 마스터 비밀번호를 변경하면 섀시 클러스터가 중단될 수 있습니다.

• 따라서 모든 마스터 비밀번호 변경은 모든 노드에서 독립적으로 수행되어야 합니다.

멀티노드 고가용성(MNHA) 고려 사항

SRX 시리즈 방화벽에서 MNHA를 구성할 때 다음과 같은 중요한 제한 사항을 준수하십시오.

• 인증서와 암호화 키의 안전한 동기화를 보장하기 위해 활성 노드와 백업 노드 간의 ICL(Inter-Chassis Link)을 암호화를 사용하여 보호해야 합니다. 섀 시 간 링크(ICL) 암호화 를 참조하십시오.

• MMNHA를 구축하기 전에 각 노드에서 개별적으로 마스터 암호를 구성해야 합니다. 모든 노드에서 동일한 마스터 암호를 사용해야 합니다.

• MNHA 모드에서 마스터 암호화 키(MEK)가 구성된 경우:

  • 마스터 비밀번호는 삭제할 수 없습니다.

  • 필요한 경우 마스터 비밀번호를 재설정할 수 있습니다.

  • 마스터 비밀번호를 완전히 삭제하려면 라우팅 엔진(RE)을 영점화해야 합니다.

• 마스터 비밀번호를 변경하면 MNHA 모드가 중단됩니다.

• 따라서 모든 마스터 비밀번호 변경은 모든 노드에서 독립적으로 수행되어야 합니다.

제한 사항

• MEK(마스터 암호화 키)를 삭제하면 데이터를 해독할 수 없습니다. MEK를 삭제하려면 디바이스를 영점화해야 합니다.

• 라우팅 엔진을 다운그레이드하려면 라우팅 엔진을 영점화해야 합니다. 디바이스가 영점화되면 이 기능을 지원하지 않는 이미지로 안전하게 다운그레이드할 수 있습니다.

• 듀얼 라우팅 엔진 구성에서 MEK 불일치로 인해 백업 라우팅 엔진을 복구해야 하는 경우 GRES를 비활성화하고 백업 라우팅 엔진을 영점화해야 합니다. 백업 라우팅 엔진이 작동하면 마스터 RE에서 명령을 사용하여 request security tpm master-encryption-password set plain-text-password MEK를 구성합니다.

• 듀얼 라우팅 엔진 구성에서 백업 라우팅 엔진을 교체해야 하는 경우, 듀얼 라우팅 엔진 구성을 추가하기 전에 먼저 새로운 백업 라우팅 엔진을 영점화해야 하며, GRES를 비활성화하고 명령을 사용하여 request security tpm master-encryption-password set plain-text-password 마스터 RE에서 MEK를 재구성해야 합니다.

• 디바이스에 OSPF, IS-IS, MACsec, BGP, VRRP를 구성하고 마스터 비밀번호를 재설정하면 라우팅/dot1x 서브시스템이 활성화되는 데 시간(초)이 지연됩니다.

• 디바이스에 마스터 비밀번호, MEK, OSPF, IS-IS, MACsec, BGP, VRRP를 구성하고 디바이스를 재부팅하면 라우팅/dot1x 서브시스템이 활성화되는 데 시간(초)이 지연됩니다.