FIPS模式以及TLS和SSL管理
建议更改
PDF
FIPS 140-2标准规定了安全系统中加密模块的安全要求、用于保护计算机和电信系统中的敏感信息。FIPS 140-2标准适用于加密模块、而不是产品、架构、数据或生态系统。加密模块是实施NIST批准的安全功能的特定组件(硬件、软件、固件或这三者的组合)。
启用FIPS 140-2合规性会影响ONTAP 9内部和外部的其他系统和通信。NetApp强烈建议在具有控制台访问权限的非生产系统上测试这些设置。
从ONTAP 9.11.1和TLS 1.3支持开始、您可以验证FIPS 140-2。
|
FIPS配置适用于ONTAP和平台BMC。 |
NetApp ONTAP的FIPS模式配置
NetApp ONTAP具有FIPS模式配置、可为控制平面例化增加的安全级别：
-
从FIPS.11.1开始、如果启用了ONTAP 9 140-2合规性模式、则TLSv1、TLSv1.1和SSLv3将被禁用、只有TSLv1.2和TSLv1.3保持启用状态。它会影响ONTAP 9内部和外部的其他系统和通信。如果启用FIPS 140-2合规模式、然后再禁用、TLSv1、TLSv1.1和SSLv3将保持禁用状态。TLSv1.2或TLSv1.3将保持启用状态、具体取决于先前的配置。
-
对于9.11.1之前的ONTAP版本、如果启用了FIPS 140-2合规性模式、则TLSv1和SSLv3都将被禁用、只有TLSv1.1和TLSv1.2保持启用状态。启用 FIPS 140-2 合规模式后， ONTAP 会阻止您同时启用 TLSv1 和 SSLv3 。如果启用 FIPS 140-2 合规模式，然后将其禁用， TLSv1 和 SSLv3 将保持禁用状态，但 TLSv1.2 或 TLSv1.1 和 TLSv1.2 均已启用，具体取决于先前的配置。
-
"NetApp加密安全模块(NCSM)"已通过FIPS 140-2 1级验证，可提供基于软件的合规性。
|
|
NIST已提交FIPS-140-2标准、NCSM将进行FIPS-140-2和FIPS-140-2验证。所有FIPS 140-2验证将于2026年9月21日变为历史状态、即新证书提交的最后一天之后五年。 |
启用FIPS-140-2和FIPS-140-2合规模式
从ONTAP 9开始、您可以为集群范围的控制面板接口启用FIPS-140-2和FIPS-140-2合规性模式。
FIPS支持和协议
`security config modify`命令可用于修改现有集群范围的安全配置。如果启用FIPS兼容模式、则集群将自动仅选择TLS协议。
-
使用
-supported-protocols参数可独立于FIPS模式包含或排除TLS协议。默认情况下，FIPS 模式处于禁用状态，ONTAP 支持 TLSv1.2、TLSv1.1 和 TLSv1 协议。 -
为了实现向后兼容性、ONTAP支持在FIPS模式处于禁用状态时将SSLv3添加到支持的协议列表中。
FIPS支持和加密
-
使用
-supported-cipher-suites参数仅配置高级加密标准(Advanced Encryption Standard、AES)或AES和3DES。 -
您可以通过指定来禁用RC4等弱加密
!RC4。默认情况下，支持的密码设置为ALL:!LOW:!aNULL:!EXP:!eNULL。此设置意味着、协议支持的所有密码套件均已启用、但使用64位或56位加密算法且无身份验证、无加密、无导出的密码套件以及低加密密码套件除外。 -
选择可与相应选定协议一起使用的密码套件。配置无效可能会导致某些功能无法正常运行。
-
有关正确的密码字符串语法、请参见 ""使用"页面"OpenSSL上的(由OpenSSL软件基金会发布)。从ONTAP 9.9.1及更高版本开始、您无需在修改安全配置后手动重新启动所有节点。
SSH和TLS安全强化
通过SSH管理ONTAP 9需要使用OpenSSH客户端5.7或更高版本。SSH客户端必须使用椭圆曲线数字签名算法(ECDSA)公共密钥算法协商、才能成功建立连接。
要增强TLS安全性、请仅启用TLS 1.2、并使用支持完全正向保密(PFS)的密码套件。PFS是一种密钥交换方法、与TLS 1.2等加密协议结合使用时、有助于防止攻击者解密客户端和服务器之间的所有网络会话。
启用TLSv1.2和支持PFS的密码套件
要仅启用TLS 1.2和支持PFS的密码套件、请 `security config modify`在高级权限级别使用命令。
|
|
在更改SSL接口配置之前、请确保客户端在连接到ONTAP以保持与ONTAP的连接时支持密码DHE和ECDHE。 |
cluster1::*> security config modify -interface SSL -supported-protocols TLSv1.2 -supported-cipher-suites PSK:DHE:ECDHE:!LOW:!aNULL:!EXP:!eNULL:!3DES:!kDH:!kECDH
确认 y 每个提示。有关PFS的详细信息，请参见此 "NetApp 博客"。