Descripción del entorno operativo de Junos OS en modo FIPS

Entorno de hardware para Junos OS en modo FIPS

Junos OS en modo FIPS establece un límite criptográfico en el dispositivo que ningún parámetro crítico de seguridad (CSP) puede cruzar con texto sin formato. Cada componente de hardware del dispositivo que requiere un límite criptográfico para el cumplimiento de FIPS 140-2 es un módulo criptográfico independiente.

Los métodos criptográficos no sustituyen la seguridad física. El hardware debe estar ubicado en un entorno físico seguro. Los usuarios de todo tipo no deben revelar claves o contraseñas, ni permitir que personal no autorizado vea registros escritos o notas.

Entorno de software para Junos OS en modo FIPS

Un dispositivo de Juniper Networks que ejecuta Junos OS en modo FIPS forma un tipo especial de entorno operativo no modificable. Para lograr este entorno en el dispositivo, el sistema impide la ejecución de cualquier archivo binario que no formara parte de la distribución certificada de Junos OS en modo FIPS. Cuando un dispositivo está en modo FIPS, solo puede ejecutar Junos OS.

El entorno de software Junos OS en modo FIPS se establece después de que Crypto Officer habilite correctamente el modo FIPS en un dispositivo. La imagen de Junos OS que incluye el modo FIPS está disponible en el sitio web de Juniper Networks y se puede instalar en un dispositivo que funcione.

Para cumplir con FIPS 140-2, se recomienda eliminar todos los archivos y datos creados por el usuario poniendo a cero el dispositivo antes de habilitar el modo FIPS.

Al habilitar el modo FIPS, se deshabilitan muchos de los servicios y protocolos habituales de Junos OS. En particular, no puede configurar los siguientes servicios en Junos OS en modo FIPS:

• Dedo

• Ftp

• Rlogin

• Telnet

• Tftp

• xnm-clear-text

Los intentos de configurar estos servicios, o cargar configuraciones con estos servicios configurados, producen un error de sintaxis de configuración.

Solo puede usar SSH como servicio de acceso remoto.

Todas las contraseñas establecidas para los usuarios después de actualizar a Junos OS en modo FIPS deben ajustarse a las especificaciones de Junos OS en modo FIPS. Las contraseñas deben tener entre 10 y 20 caracteres de longitud y requieren el uso de al menos tres de los cinco conjuntos de caracteres definidos (letras mayúsculas y minúsculas, dígitos, signos de puntuación y caracteres de teclado, como % y &, no incluidos en las otras cuatro categorías). Los intentos de configurar contraseñas que no se ajustan a estas reglas producen un error. Todas las contraseñas y claves utilizadas para autenticar pares deben tener al menos 10 caracteres de longitud y, en algunos casos, la longitud debe coincidir con el tamaño de resumen.

Nota:

No conecte el dispositivo a una red hasta que el Crypto Officer complete la configuración desde la conexión de la consola local.

Para un cumplimiento estricto, no examine la información del núcleo y del volcado de memoria en la consola local en Junos OS en modo FIPS, ya que algunos CSP pueden mostrarse en texto sin formato.

Parámetros críticos de seguridad

Los parámetros críticos de seguridad (CSP) son información relacionada con la seguridad, como claves criptográficas y contraseñas, que pueden comprometer la seguridad del módulo criptográfico o la seguridad de la información protegida por el módulo si se divulgan o modifican.

La ceroización del sistema borra todos los rastros de CSP en preparación para operar el dispositivo o el motor de enrutamiento como un módulo criptográfico.

En la tabla 1 se enumeran los CSP en dispositivos que ejecutan Junos OS.

Tabla 1: Parámetros críticos de seguridad

CSP	Descripción	Poner a cero	Uso
Clave de host privada SSHv2	Clave ECDSA/RSA utilizada para identificar el host, generada la primera vez que se configura SSH.	Comando Ceroizar.	Se utiliza para identificar al host.
Claves de sesión SSHv2	Clave de sesión utilizada con SSHv2 y como clave privada Diffie-Hellman. Cifrado: 3DES, AES-128, AES-192, AES-256. MACs: HMAC-SHA-1, HMAC-SHA-2-256, HMAC-SHA2-512. Intercambio de claves: ECDH-sha2-nistp256, ECDH-sha2-nistp384 y ECDH-sha2-nistp521.	Apague y finalice la sesión.	Clave simétrica utilizada para cifrar datos entre el host y el cliente.
Clave de autenticación de usuario	Hash de la contraseña del usuario: SHA256, SHA512.	Comando Ceroizar.	Se utiliza para autenticar a un usuario en el módulo criptográfico.
Clave de autenticación de Crypto Officer	Hash de la contraseña del oficial criptográfico: SHA256, SHA512.	Comando Ceroizar.	Se utiliza para autenticar al Crypto Officer en el módulo criptográfico.
Semilla HMAC DRBG	Semilla para generador de bits de randon determinista (DRBG).	El módulo criptográfico no almacena la semilla.	Se utiliza para sembrar DRBG.
Valor HMAC DRBG V	El valor (V) de la longitud del bloque de salida (outlen) en bits, que se actualiza cada vez que se producen otros bits outlen de salida.	Ciclo de alimentación.	Un valor crítico del estado interno de DRBG.
Valor de clave DRBG de HMAC	El valor actual de la clave outlen-bit, que se actualiza al menos una vez cada vez que el mecanismo DRBG genera bits pseudoaleatorios.	Ciclo de alimentación.	Un valor crítico del estado interno de DRBG.
Entropía NDRNG	Se utiliza como cadena de entrada de entropía para el DRBG HMAC.	Ciclo de alimentación.	Un valor crítico del estado interno de DRBG.

En Junos OS en modo FIPS, todos los CSP deben entrar y salir del módulo criptográfico de forma cifrada. Cualquier CSP cifrado con un algoritmo no aprobado se considera texto sin formato por FIPS.

Práctica recomendada:

Para cumplir con FIPS, configure el enrutador a través de conexiones SSH porque

Las contraseñas locales se cifran con el algoritmo SHA256 o SHA512. La recuperación de contraseñas no es posible en Junos OS en modo FIPS. Junos OS en modo FIPS no puede arrancar en modo de usuario único sin la contraseña raíz correcta.