Contraseña maestra para el cifrado de configuración
Junos OS y Junos OS Evolucionado admiten el método de cifrado para secretos de configuración mediante una contraseña maestra. La contraseña maestra deriva una clave de cifrado que usa AES256-GCM para proteger ciertos secretos, como claves privadas, contraseñas maestras del sistema y otros datos confidenciales mediante su almacenamiento en un formato cifrado AES256. Para obtener más información, lea este tema.
La contraseña maestra es independiente de la contraseña raíz del dispositivo.
Endurecimiento de secretos compartidos en Junos OS
Descripción del endurecimiento de los secretos compartidos
Los secretos compartidos existentes (formato de $9$) en Junos OS actualmente utilizan un algoritmo de ofuscación, que no es un cifrado muy fuerte para los secretos de configuración. Si desea un cifrado seguro para sus secretos de configuración, puede configurar una contraseña maestra. La contraseña maestra se utiliza para derivar una clave de cifrado que se utiliza con AES256-GCM para cifrar los secretos de configuración. Este nuevo método de cifrado utiliza las cadenas formateadas de $8$.
A partir de Junos OS versión 15.1X49-D50 y Junos OS Evolved versión 22.4R1, se introducen nuevos comandos de CLI para configurar una contraseña maestra del sistema a fin de proporcionar un cifrado más fuerte para los secretos de configuración. La contraseña maestra cifra secretos como la contraseña RADIUS, claves precompartidas IKE y otros secretos compartidos en la configuración del proceso de administración de Junos OS (mgd). La contraseña maestra en sí no se guarda como parte de la configuración. La calidad de la contraseña se evalúa para determinar la fuerza y el dispositivo da comentarios si se utilizan contraseñas débiles.
La contraseña maestra se utiliza como entrada a la función de derivación de clave basada en contraseña (PBKDF2) para generar una clave de cifrado. la clave se utiliza como entrada al estándar de cifrado avanzado en modo galois/contador (AES256-GCM). El texto sin formato que ingresa el usuario se procesa mediante el algoritmo de cifrado (con clave) para producir el texto cifrado (texto cifrado). Ver Figura 1
Habilitar el cifrado de contraseña maestra a través del módulo de plataforma de confianza (TPM) puede aumentar los tiempos de confirmación. Esto se debe al procesamiento de cifrado que se produce cada vez que se confirma la configuración. El aumento del retraso varía según la capacidad de la CPU y la carga actual.
Los secretos de configuración de $8$ solo se pueden compartir entre dispositivos mediante la misma contraseña maestra.
Las contraseñas cifradas de $8$tienen el siguiente formato:
$8$crypt-algo$hash-algo$iterations$salt$iv$tag$encrypted. Consulte Tabla 1 los detalles del formato de la contraseña maestra.
| Formato | Description |
|
crypt-algo |
Algoritmo de cifrado/descifrado que se utilizará. Actualmente solo se admite AES256-GCM. |
|
hash-algo |
Algoritmo hash (prf) que se utilizará para la derivación de clave PBKDF2. |
|
Iteraciones |
Número de iteraciones que se usarán para la función hash PBKDF2. El valor predeterminado actual de recuento de iteración es 100. El recuento de iteración ralentiza el recuento de hash, lo que ralentiza las conjeturas de los atacantes. |
|
Sal |
Secuencia de bytes pseudoaleatorios codificados con ASCII64 generados durante el cifrado que se usarán para saltar (una cadena aleatoria, pero conocida) la contraseña y la entrada a la derivación de clave PBKDF2. |
|
Iv |
Una secuencia de bytes pseudoaleatoriamente codificados con ASCII64 generados durante el cifrado que se usarán como vector de inicialización para la función de cifrado AES256-GCM. |
|
etiqueta |
Representación de la etiqueta con código ASCII64. |
|
Encriptados |
Representación de la contraseña cifrada con código ASCII64. |
La codificación ASCII64 es compatible con Base64 (RFC 4648), excepto que no se utiliza relleno (carácter "=") para mantener las cadenas cortas. Por ejemplo: $8$aes256-gcm$hmac-sha2-256$100$y/4YMC4YDLU$fzYDI4jjN6YCyQsYLsaf8A$Ilu4jLcZarD9YnyD /Hejww$okhBlc0cGakSqYxKww
Uso del módulo de plataforma de confianza para enlazar secretos en dispositivos de la serie SRX
Al habilitar el módulo de plataforma de confianza (TPM) en los firewalls serie SRX, la capa de software aprovecha el uso del chip TPM subyacente. TPM es un chip especializado que protege ciertos secretos en reposo, como claves privadas, contraseñas principales del sistema y otros datos confidenciales mediante su almacenamiento en un formato cifrado AES256 (en lugar de almacenar datos confidenciales en un formato de texto sin formato). El dispositivo también genera un nuevo hash SHA256 de la configuración cada vez que el administrador confirma la configuración. Este hash se verifica cada vez que se inicia el sistema. Si se ha manipulado la configuración, se produce un error en la verificación y el dispositivo no continuará iniciando. Tanto los datos cifrados como el hash de la configuración están protegidos por el módulo TPM mediante la contraseña de cifrado maestro.
La validación de hash se realiza durante cualquier operación de confirmación mediante una comprobación de validación del archivo de configuración con el hash guardado de confirmaciones anteriores. En un sistema de clústeres de chasis, el hash se genera de forma independiente en el sistema de respaldo como parte del proceso de confirmación. Una confirmación desde cualquier modo, es decir, batch-config, dynamic-config, exclusive-config, o private config genera el hash de integridad.
El hash se guarda solo para la configuración actual y no para cualquier configuración de devolución. El hash no se genera durante el reinicio o apagado del dispositivo.
El TPM cifra los siguientes secretos:
-
Hash SHA256 de la configuración
-
contraseña principal del dispositivo
-
todos los pares de claves en el dispositivo
El chip TPM está disponible en los dispositivos SRX300, SRX320, SRX340, SRX345, SRX380 SRX5400, SRX5600 y SRX5800. En los dispositivos SRX5400, SRX5600 y SRX5800, el TPM solo se admite con el motor de enrutamiento SRX5K-RE3-128G (RE3). El chip TPM está habilitado de forma predeterminada para hacer uso de la funcionalidad TPM. Debe configurar la contraseña de cifrado maestro para cifrar pares de claves PKI y hash de configuración. Para configurar la contraseña de cifrado principal, consulte Configuración de la contraseña de cifrado maestro.
- Limitaciones
- Configuración de la contraseña de cifrado maestro
- Verificar el estado del TPM
- Cambiar la contraseña de cifrado principal
Limitaciones
Las siguientes limitaciones y excepciones se aplican a la función de integridad del archivo de configuración mediante TPM:
-
Esta función solo se admite en los dispositivos SRX300, SRX320, SRX340, SRX345, SRX380 , SRX5400, SRX5600 y SRX5800. En dispositivos SRX5400, SRX5600 y SRX5800, el TPM solo se admite con RE3.
-
Si la contraseña de cifrado maestro no está establecida, los datos se almacenan sin cifrar.
-
No se admite la función de integridad de archivos junto con la función de cifrado de archivo de configuración que utiliza claves guardadas en EEPROM. Solo puede habilitar una función a la vez.
-
En un clúster de chasis, ambos nodos deben tener la misma configuración de TPM. Esto significa que ambos nodos del clúster de chasis deben tener TPM habilitado, o que ambos nodos del clúster de chasis deben tener TPM deshabilitado. El clúster de chasis no debe tener un nodo establecido en TPM habilitado y el otro nodo establecido en TPM deshabilitado.
Después de que la clave de cifrado maestro (MEK) esté configurada y operativa, no se recomienda degradar a una versión de Junos que no admita la funcionalidad de TPM. Esto se debe a que la imagen que no es compatible con TPM no es capaz de descifrar los secretos cifrados por TPM después de que el dispositivo se reinicie a la versión de cable que no es TPM.
Si debe degradar a una imagen que no sea compatible con TPM, primero debe cero el dispositivo. El proceso de cero garantiza que el dispositivo no contenga ningún secreto y elimina todas las claves. Después de la ceroización, el dispositivo se degradará a la imagen deseada que no sea compatible con TPM.
Configuración de la contraseña de cifrado maestro
Antes de configurar la contraseña de cifrado maestro, asegúrese de que ha configurado set system master-password plain-text-password lo contrario, ciertos datos confidenciales no estarán protegidos por el TPM.
Establezca la contraseña de cifrado maestro mediante el siguiente comando de CLI:
request security tpm master-encryption-password set plain-text-password
Se le pedirá que ingrese la contraseña de cifrado maestro dos veces para asegurarse de que estas contraseñas coincidan. La contraseña de cifrado principal se valida para la fuerza de contraseña requerida.
Después de establecer la contraseña de cifrado maestro, el sistema procede a cifrar los datos confidenciales con la contraseña de cifrado principal que está cifrada por la clave de enlace maestra que pertenece y está protegida por el chip TPM.
Si hay algún problema con la configuración de la contraseña de cifrado principal, se registra un mensaje de ERROR crítico en la consola y se finaliza el proceso.
Verificar el estado del TPM
Puede usar el show security tpm status comando para comprobar el estado del TPM. Se muestra la siguiente información:
-
TPM habilitado/deshabilitado
-
Propiedad de TPM
-
Estado de la clave de enlace maestro de TPM (creada o no creada)
-
estado de la contraseña de cifrado maestro (establecido o no establecido)
A partir de Junos OS versión 15.1X49-D120 y Junos OS versión 17.4R1, el firmware del módulo de plataforma de confianza (TPM) se actualizó. La versión de firmware actualizada ofrece criptografía adicional segura y mejora la seguridad. El firmware TPM actualizado está disponible junto con el paquete Junos OS. Para actualizar el firmware de TPM, consulte Actualización del firmware de TPM en dispositivos SRX. Para confirmar la versión de firmware de TPM, utilice el show security tpm status comando y TPM FamilyTPM Firmware version se introducen los campos de salida.
Cambiar la contraseña de cifrado principal
El cambio de la contraseña de cifrado maestro se realiza mediante la CLI.
Para cambiar la contraseña de cifrado maestro, escriba el siguiente comando desde el modo operativo:
request security tpm master-encryption-password set plain-text-password
Se recomienda que no se realicen cambios de configuración mientras cambia la contraseña de cifrado maestro.
El sistema comprueba si la contraseña de cifrado principal ya está configurada. Si la contraseña de cifrado maestro está configurada, se le pedirá que ingrese la contraseña de cifrado principal actual.
La contraseña de cifrado principal ingresada se valida con la contraseña de cifrado maestro actual para asegurarse de que estas contraseñas de cifrado maestro coincidan. Si la validación se hace correctamente, se le pedirá que escriba la nueva contraseña de cifrado maestro como texto sin formato. Se le pedirá que introduzca la clave dos veces para validar la contraseña.
Luego, el sistema procede a volver a cifrar los datos confidenciales con la nueva contraseña de cifrado principal. Debe esperar a que se complete este proceso de reencripción antes de intentar cambiar la contraseña de cifrado principal de nuevo.
Si por alguna razón, el archivo de contraseña de cifrado principal cifrado se pierde o está dañado, el sistema no podrá descifrar los datos confidenciales. El sistema solo se puede recuperar volviendo a importar los datos confidenciales en texto sin formato y cifrando de nuevo.
Si el sistema está en peligro, el administrador puede recuperarlo mediante el siguiente método:
-
Desactive la propiedad del TPM en el u-boot y, a continuación, instale la imagen en el cargador de arranque mediante TFTP o USB (si el puerto USB no está restringido).
Si la versión de software instalada es anterior a la versión 15.1X49-D110 de Junos OS y la contraseña de cifrado principal está habilitada, se producirá un error en la instalación de Junos OS versión 15.1X49-D110. Debe hacer una copia de seguridad de la configuración, los certificados, los pares de claves y otros secretos, y debe utilizar el procedimiento de instalación TFTP/USB.
Uso del módulo de plataforma de confianza en dispositivos de la serie MX
El módulo de plataforma de confianza (TPM) 1.2 se admite en dispositivos MX240, MX480, MX960, MX2010, MX2020 y MX10003. Se utiliza una contraseña maestra para cifrar los archivos de configuración almacenados en el dispositivo.
Para cambiar la contraseña de cifrado maestro, escriba el siguiente comando desde el modo operativo:
request security tpm master-encryption-password set plain-text-password
El TPM se utiliza para proteger los datos confidenciales, como la contraseña maestra del sistema mediante el cifrado. TPM admite cifrar y descifrar los datos mediante claves. Para descifrar los secretos de configuración cifrada, se debe eliminar la contraseña maestra.
Puede evitar eliminar o cambiar la contraseña maestra mediante protect la opción. Una vez que la contraseña maestra esté protegida, debe aplicar unprotect la opción para eliminar o cambiar la contraseña maestra. Ejecute con los siguientes pasos:
-
Configure la contraseña maestra del sistema.
user@host#
set system master-password plain-text-passwordMaster password: Repeat master password: user@host#commit -
Configure para proteger la contraseña maestra del sistema contra la eliminación.
user@host#
protect system master-passworduser@host#commituser@host#show systemhost-name device1; kernel-replication { traceoptions { file kernel_traces.log; flag all; } } ports { console log-out-on-disconnect; } syslog { file messages { daemon any; } } protect: master-password { password-configured; }La contraseña maestra del sistema está protegida. Puede eliminar la contraseña maestra desprotegiendo la contraseña maestra.
-
Configure para desproteger la contraseña maestra ingresando la contraseña maestra derecha.
user@host #
unprotect system master-passwordEnter current master-password: user@host #commithost-name device1; kernel-replication { traceoptions { file kernel_traces.log; flag all; } } ports { console log-out-on-disconnect; } syslog { file messages { daemon any; } } master-password { password-configured; } -
Una vez que la contraseña maestra esté desprotegida, puede eliminar o cambiar la contraseña maestra en el sistema.
user@host #
delete system master-passworduser@host #commituser@host #show systemhost-name device1; kernel-replication { traceoptions { file kernel_traces.log; flag all; } } ports { console log-out-on-disconnect; } syslog { file messages { daemon any; } }Antes de confirmar el cambio eliminar contraseña maestra en el dispositivo, si ejecuta
showpara ver la configuración actual o compara la configuración actual con la configuración activa anterior medianteshow | compareel comando, la configuración de contraseña maestra muestra los secretos como '/* SECRET-DATA */'.
Limitaciones
-
Si se elimina la clave de cifrado maestra (MEK), los datos no se pueden descifrar. Para eliminar MEK, debe cero el dispositivo.
-
Para degradar el motor de enrutamiento, debe cero el motor de enrutamiento. Una vez que el dispositivo está en cero, se puede degradar de manera segura a la imagen que no admite esta función.
-
En la configuración del motor de enrutamiento dual, si es necesario recuperar el motor de enrutamiento de respaldo, debido a la discordancia de MEK, gres debe deshabilitarse y el motor de enrutamiento de respaldo debe estar en cero. Una vez que se haga una copia de seguridad del motor de rutina, configure MEK mediante
request security tpm master-encryption-password set plain-text-passwordel comando en Master RE. -
En la configuración del motor de enrutamiento dual, si es necesario reemplazar el motor de enrutamiento de respaldo, primero se debe cero el nuevo motor de enrutamiento de respaldo antes de agregar la configuración del motor de enrutamiento dual, gres debe deshabilitarse y volver a configurar MEK en re maestro mediante
request security tpm master-encryption-password set plain-text-passwordel comando.
show security tpm status comando y TPM FamilyTPM Firmware version se introducen los campos de salida.