KB2733626-إرشادات لاستخدام SQL Server 2012 في الوضع المتوافق مع FIPS 140-2

ما هو FIPS ؟

ان معالجه المعلومات الفيدرالية (FIPS) عبارة عن مقياس تم تطويره بواسطة الاثنين من النصوص الحكومية التالية:

• المعهد القومي للمقاييس والتقنية (NIST) في الولايات المتحدة

• تاسيس أمان الاتصالات (صيغ CSE) في كندا

ان معايير FIPS اما مستحسنه أو مخصصه لاستخدامها في الولايات المتحدة الفيدرالية والتي يتم تشغيلها في الحكومة الاتحادية وكندا.

ما هو FIPS 140-2 ؟

ان FIPS 140-2 هو عبارة عن العنوان "متطلبات الأمان لوحدات التشفير النمطية". يحدد هذا الاجراء خوارزميات التشفير وأي من خوارزميات التجزئة يمكن استخدامها والطريقة التي يتم بها إنشاء مفاتيح التشفير وأدارتها. يمكن ان تكون بعض الاجهزه والبرامج والعمليات معتمده في FIPS 140-2 ، ويمكن ان تكون بعض الاجهزه والبرامج والعمليات متوافقة مع FIPS 140-2.

ما هو الفرق بين "التوافق مع FIPS 140-2 والميزات المعتمدة في FIPS 140-2 ؟

يمكن تكوين SQL Server 2012 وتشغيله بطريقه متوافقة مع FIPS 140-2. لتكوين SQL Server 2012 بهذه الطريقة ، يجب ان يتم تشغيل SQL Server 2012 علي نظام التشغيل الذي يتم ترخيصه في FIPS 140-2 أو علي نظام التشغيل الذي يوفر وحده تشفير معتمده. الفرق بين التوافق والشهادة ليس دقيقا. يمكن اعتماد الخوارزميات. من غير الكافي استخدام خوارزميه من القوائم المعتمدة في FIPS 140-2. بدلا من ذلك ، يتعين عليك استخدام مثيل من هذه الخوارزميات المعتمدة. تتطلب الشهادة الاختبار والتحقق من قبل معمل التقييم المعتمد علي الحكومة. يحتوي windows Server 2003 و Windows XP و Windows Server 2008 علي الخوارزميات المسموح بها ، ومثيل لكل من أنظمه التشغيل هذه هو اختبار مختبر ومعتمد من قبل الحكومة.

ما هي منتجات التطبيقات التي يمكن ان تكون FIPS 140-2 متوافقة ؟

يمكن ان تكون كل التطبيقات التي تقوم باجراء التشفير أو التجزئة والتي تعمل علي إصدار مصدق من Windows متوافقة باستخدام المثيلات المعتمدة للخوارزميات المعتمدة فقط التزام بمتطلبات المفتاح والتكوين الاساسيه ، باستخدام الدالة Windows لإنشاء المفتاح وأداره المفتاح أو عن طريق التزام بالمفتاح- انتبه إلى ان المناطق في تطبيق متوافق مع FIPS قد تكون موجودة في المكان الذي يتم فيه تمكين الخوارزميات أو العمليات غير المتوافقة. علي سبيل المثال ، يسمح ببعض العمليات الداخلية التي تبقي داخل النظام وبعض البيانات الخارجية التي سيتم تشفيرها بالاضافه إلى ذلك باستخدام مثيل خوارزميه معتمد.

هل هو SQL Server 2012 دوما هو المتوافق مع FIPS 140-2 ؟

لا. يمكن ان يكون SQL Server 2012 بالتوافق مع FIPS 140-2 لأنه يمكن تكوينه وتشغيله بطريقه تستخدم فقط مثيلات خوارزميه المصادقة المعتمدة علي 140-2 FIPS التي يتم استدعاؤها باستخدام CryptoAPI للتشفير أو بواسطة التجزئة في كل مثيل في حاله الحاجة إلى توافق FIPS 140-2.

كيف يمكن تكوين SQL Server 2012 ليكون متوافقا مع FIPS 140-2 ؟

• متطلبات نظام التشغيل: يجب تثبيت SQL Server 2012 علي خادم يستند إلى أحد أنظمه التشغيل التالية:

  • نظام التشغيل Windows Server 2003

  • بالنسبة لنظام التشغيل Windows XP

  • Windows Server 2008‏

• متطلبات أداره نظام Windows: يجب ان يتم تعيين وضع FIPS قبل بدء تشغيل SQL Server 2012. يقرا SQL Server الاعداد عند بدء التشغيل. لتعيين وضع FIPS ، اتبع الخطوات التالية:

  1. سجل الدخول إلى Windows كمسؤول نظام Windows.

  2. انقر فوق ابدأ.

  3. انقر فوق لوحه التحكم.

  4. انقر فوق أدوات اداريه.

  5. انقر فوق نهج الأمان المحلي. تظهر نافذه إعدادات الأمان المحلي .

  6. في جزء التنقل ، انقر فوق النهج المحلية، ثم انقر فوق خيارات الأمان.

  7. في الجزء الموجود علي الجانب الأيسر ، انقر نقرا مزدوجا فوق تشفير النظام: استخدم الخوارزميات المتوافقة مع FIPS للتشفير والتجزئة والتوقيع.

  8. في مربع الحوار الذي يظهر ، انقر فوق ممكن، ثم انقر فوق تطبيق.

  9. انقر فوق موافق.

  10. اغلق نافذه إعدادات الأمان المحلي .

• متطلبات مسؤول SQL Server

  • عند اكتشاف خدمه SQL Server ان وضع FIPS ممكن عند بدء التشغيل ، يسجل SQL Server الرسالة التالية في سجل أخطاء SQL Server:

    يتم تشغيل نقل وسيط الخدمة في وضع توافق FIPS.بالاضافه إلى ذلك ، قد تجد الرسالة التالية التي تم تسجيلها في سجل الاحداث في Windows:

    يمكنك التحقق من تشغيل الخادم في وضع FIPS عبر البحث عن هذه الرسائل.

  • بالنسبة إلى أمان مربع الحوار (بين الخدمات) ، يستخدم التشفير المثيل المعتمد في FIPS من AES إذا تم تمكين وضع FIPS. إذا تم تعطيل وضع FIPS ، سيستخدم التشفير RC4.

  • عند تكوين نقطه نهاية "وسيطه الخدمة" في وضع FIPS ، يجب ان يقوم المسؤول بتحديد "AES" لوسيط الخدمة. إذا تم تكوين نقطه النهاية إلى RC4 ، سيؤدي SQL Server إلى إنشاء خطا. لذلك ، لن يتم بدء طبقه النقل.

كيف يتم تشغيل SQL Server 2012 في الوضع المتوافق مع FIPS 140-2 ؟

• عند تشغيل وضع FIPS في Windows ، في كل المناطق التي لا يكون فيها المستخدم خيارا حول ما إذا كنت تريد تشفير/تجزئه وكيفيه اجراء ذلك ، سيتم تنفيذ SQL Server 2012 بالتوافق مع FIPS 140-2. (سيستخدم SQL Server 2012 CryptoAPI في Windows سيستخدم المثيلات المعتمدة للخوارزميات فقط).

• عند تشغيل وضع FIPS في Windows ، في كل المناطق التي يكون فيها المستخدم أحد الخيارات لاستخدام التشفير ، سيقوم SQL Server 2012 بتمكين التشفير المتوافق مع FIPS 140-2 فقط أو لن يمكنه تمكين اي تشفير.

• معلومات هامه لمطوري البرامجفي كل المناطق التي يقوم فيها المطور أو المستخدم بكتابه التعليمات البرمجية الخاصة به للتشفير أو التجزئة ، يجب ان يتم إرشاده لاستخدام CryptoAPI فقط (التالي فقط المثيلات المعتمدة) ولتحديد الخوارزميات المسموح بها بواسطة FIPS 140-2 فقط. وبشكل خاص ، يجب ان يقوموا بتحديد DES الثلاثي فقط (3DES) أو AES للتشفير وفقط SHA-1 للتجزئة.

ما هو تاثير تشغيل SQL Server 2012 في الوضع المتوافق مع FIPS 140-2 ؟

• قد يكون لاستخدام التشفير الأقوى تاثيرا صغيرا علي الأداء لهذه العمليات حيث يتم السماح بالتشفير المعقد الأقل عندما لا تعمل العملية كمتوافق مع FIPS 140-2.

• سيقوم تحديد التشفير ل SSIS (أوسينكريبتيون = True) بإنشاء رسالة خطا تشير إلى ان التشفير المتوفر غير متوافق مع توافق FIPS وغير مسموح به. بكلمات أخرى ، لا يتم اجراء اي تشفير لعمليه الرسالة.

• استخدام التشفير مع دتس القديم غير متوافق مع FIPS 140-2. كن علي علم بأنه في دتس ، لم يتم تحديد وضع FIPS في Windows. ولذلك ، فانها مسؤوليه المستخدم الذي يحدد عدم توافق التشفير.

• نظرا لان معظم عمليات التشفير والتجزئة في SQL Server 2012 متوافقة مع نظام التشغيل FIPS 140-2 بالفعل ، سيكون تنفيذ التطبيق بالتوافق الكامل (اي باستخدام وضع FIPS في Windows قيد الاستخدام) قليلا أو لا يؤثر علي نوع المنتج أو الأداء.

أين يمكنني معرفه المزيد حول FIPS 140-2 ؟

لمزيد من المعلومات حول مقياس FIPS 140-2 وكيفيه تنزيله ، انتقل إلى موقع ويب NIST التالي:

http://csrc.nist.gov/cryptval/140-2.htm توفر Microsoft معلومات الاتصال الخاصة بجهات أخرى لمساعدتك في الحصول على الدعم التقني. قد تتغير معلومات الاتصال هذه بدون إشعار. ولا تضمن Microsoft دقة معلومات الاتصال الخاصة بهذه الجهات الأخرى.