FIPS運用モードでのJunos OSについて
連邦情報処理標準(FIPS)140-3は、暗号化機能を実行するハードウェアとソフトウェアのセキュリティレベルを定義しています。Junos-FIPS は、連邦情報処理標準(FIPS)140-3 に準拠した Junos オペレーティング システム(Junos OS)のバージョンです。
FIPS 140-3レベル 2環境でSRXシリーズファイアウォールを運用するには、Junos OSコマンドラインインターフェイス(CLI)からデバイス上でFIPS動作モードを有効にして設定する必要があります。
Cryptographic Officerは、Junos OSリリースでFIPS動作モードを有効にし、システムと構成を表示できる他のFIPSユーザーのキーとパスワードを設定します。どちらのユーザータイプも、個々のユーザー構成で許可される限り、デバイス上で通常の構成タスク(インターフェイス タイプの変更など)を実行することもできます。
デバイスの安全な配送を必ず確認し、脆弱なポートに改ざん防止シールを貼ってください。
デバイスの暗号化境界について
FIPS 140-3に準拠するには、デバイス上の各暗号化モジュールの周囲に定義された暗号化境界が必要です。FIPS 動作モードの Junos OS は、暗号化モジュールが FIPS 認定ディストリビューションに含まれていないソフトウェアを実行できないようにし、FIPS 承認の暗号化アルゴリズムのみを使用できます。パスワードやキーなどの重要なセキュリティパラメーター(CSP)は、コンソールに表示したり、外部ログファイルに書き込まれたりすることで、モジュールの暗号化境界を越えることはできません。
バーチャルシャーシ機能は、FIPS動作モードではサポートされていません。FIPS 動作モードでバーチャルシャーシを設定しないでください。
暗号化モジュールを物理的に保護するために、すべてのジュニパーネットワークスデバイスでは、USBポートとミニUSBポートに不正開封が施されている必要があります。
FIPS 動作モードと非 FIPS 動作モードの違い
非FIPS動作モードのJunos OSとは異なり、FIPS動作モードのJunos OSは 変更不可能な運用環境です。また、FIPS モードの Junos OS は、非 FIPS 運用モードの Junos OS と、以下の点で異なります。
-
すべての暗号化アルゴリズムのセルフテストは、FIPS モードと非 FIPS モードの両方で起動時に実行されます。ただし、結果はコンソールにFIPSモードでのみ表示されます。
-
乱数と鍵生成のセルフテストは継続的に実行されます。
-
DES(データ暗号化標準)やMD5などの弱い暗号化アルゴリズムは無効です。
-
FIPS モードでは HMAC-DRBG 乱数発生器が使用され、非 FIPS モードでは Junos デフォルトの Fortuna 乱数発生器が使用されます。
-
モジュールが公開鍵と秘密鍵のペアを生成するときのペアワイズ整合性テストは、FIPS モードでのみ実行されます。
-
生成中のDHおよびECDH公開キーの検証は、FIPSモードでのみ実行されます
-
脆弱な管理接続または暗号化されていない管理接続は設定しないでください。
-
Junos-FIPS 管理者パスワードは、少なくとも 10 文字以上である必要があります。
-
暗号化キーは、送信前に暗号化する必要があります。
FIPS 140-3標準は、米国国立標準技術研究所(NIST: https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.140-3.pdf)からダウンロードできます。
FIPS 動作モードの Junos OS の検証済みバージョン
Junos OS リリースが NIST による検証済みかどうかを確認するには、ジュニパーネットワークス Web サイト(https://www.juniper.net/)または National Institute of Standards and Technology のサイト ( https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.140-3.pdf) のソフトウェア ダウンロード ページを参照してください。