Skip to main content
本繁體中文版使用機器翻譯，譯文僅供參考，若與英文版本牴觸，應以英文版本為準。

FIPS 模式、 TLS 和 SSL 管理

貢獻者
PDF

FIPS 140-2 標準指定安全系統中密碼模組的安全需求、以保護電腦和電信系統中的機密資訊。FIPS 140-2 標準會套用至加密模組、而非產品、架構、資料或生態系統。密碼編譯模組是執行 NIST 核准安全功能的特定元件（硬體、軟體、韌體或三者的組合）。

啟用 FIPS 140-2 規範會影響其他系統、以及 ONTAP 9 內部和外部的通訊。NetApp 強烈建議在具有主控台存取權的非正式作業系統上測試這些設定。

從 ONTAP 9.11.1 和 TLS 1.3 支援開始、您可以驗證 FIPS 140-3 。

註 FIPS 組態適用於 ONTAP 和平台 BMC 。

NetApp ONTAP 的 FIPS 模式組態

NetApp ONTAP 具有 FIPS 模式組態、可在控制面板中產生新增的安全層級：

  • 從 ONTAP 9 。 11.1 開始、啟用 FIPS 140-2 規範模式時、會停用 TLSv1 、 TLSv1.1 和 SSLv3 、而且只有 TSLv1.2 和 TSLv1.3 會保持啟用狀態。它會影響ONTAP 到其他內部和外部的系統和通訊、而這些系統和通訊則是來自於19。如果您啟用FIPS 140-2規範模式、然後停用、則TLSv1、TLSv1.1及SSLv3會維持停用狀態。視先前的組態而定、TLSv1.2或TLSSv1.3仍會保持啟用狀態。

  • 對於 9.11.1 之前的 ONTAP 版本、啟用 FIPS 140-2 規範模式時、 TLSv1 和 SSLv3 都會停用、而且只有 TLSv1.1 和 TLSv1.2 會保持啟用狀態。啟用FIPS 140-2相容模式時、無法同時啟用TLSv1和SSLv3。ONTAP如果您啟用FIPS 140-2規範模式、然後停用該模式、則TLSv1和SSLv3仍會維持停用狀態、但根據先前的組態、TLSv1.2或同時啟用TLSv1.1和TLSv1.2。

  • "NetApp 密碼編譯安全模組（ NCSM ）"已通過 FIPS 140-2 第 1 級驗證、可提供軟體型法規遵循。

註 NIST 已提交 FIPS-140-3 標準、而 NCSM 將會進行 FIPS-140-2 和 FIPS-140-3 驗證。所有 FIPS 140-2 驗證將於 2026 年 9 月 21 日移至歷史狀態、這是新憑證提交的最後一天之後的五年。

啟用 FIPS-140-2 和 FIPS-140-3 法規遵循模式

從 ONTAP 9 開始、您可以針對叢集範圍的控制平面介面啟用 FIPS-140-2 和 FIPS-140-3 規範模式。

FIPS 啟用與通訊協定

此 `security config modify`命令可讓您修改現有的叢集範圍安全性組態。如果您啟用 FIPS 相容模式、叢集會自動僅選取 TLS 通訊協定。

  • 使用此 -supported-protocols 參數可在 FIPS 模式之外、自行納入或排除 TLS 通訊協定。根據預設、 FIPS 模式會停用、 ONTAP 支援 TLSv1.2 、 TLSv1.1 和 TLSv1 傳輸協定。

  • 為了回溯相容性、 ONTAP 支援在停用 FIPS 模式時、將 SSLv3 新增至支援的通訊協定清單。

FIPS 啟用與加密

  • 使用此 -supported-cipher-suites 參數僅設定進階加密標準（ AES ）或 AES 和 3DES 。

  • 您可以透過指定來停用弱式密碼 !RC4、例如 RC4 。依預設，支援的密碼設定為 ALL:!LOW:!aNULL:!EXP:!eNULL。此設定表示所有支援的通訊協定加密套件都已啟用、但使用 64 位元或 56 位元加密演算法且不驗證、無加密、無匯出及低加密密碼套件的加密套件除外。

  • 選取對應選取的傳輸協定所提供的加密套件。無效的組態可能會導致某些功能無法正常運作。

  • 如需正確的加密字串語法、請參閱 "密碼頁面"開啟 OpenSSL （由 OpenSSL 軟體基礎所發佈）。從 ONTAP 9.9.1 及更新版本開始、您不再需要在修改安全性組態之後手動重新啟動所有節點。

SSH 和 TLS 安全強化

ONTAP 9 的 SSH 管理需要 OpenSSH 用戶端 5.7 或更新版本。SSH 用戶端必須與省略曲線數位簽章演算法（ ECDSA ）公開金鑰演算法交涉、才能成功連線。

若要強化 TLS 安全性、請僅啟用 TLS 1.2 、並使用能夠完全轉送機密（ PFS ）的加密套件。PFS 是一種金鑰交換方法、搭配 TLS 1.2 等加密通訊協定使用時、可協助防止攻擊者解密用戶端和伺服器之間的所有網路工作階段。

啟用支援 TLSv1.2 和 PFS 的加密套件

若要僅啟用 TLS 1.2 和 PFS 功能的加密套件、請使用 `security config modify`進階權限層級的命令。

註 在變更 SSL 介面組態之前、請確定用戶端在連線至 ONTAP 時支援加密者 DHE 和 ECDHE 、以維持與 ONTAP 的連線。
範例
cluster1::*> security config modify -interface SSL -supported-protocols TLSv1.2 -supported-cipher-suites PSK:DHE:ECDHE:!LOW:!aNULL:!EXP:!eNULL:!3DES:!kDH:!kECDH

請針對每個提示進行確認 y 。如需 PFS 的詳細資訊，請參閱本 "NetApp部落格"。

相關資訊

"聯邦資訊處理標準（ FIPS ）出版 140"