Εισαγωγή
Αυτό το άρθρο περιγράφει τις οδηγίες FIPS 140-2 και τον τρόπο χρήσης του Microsoft SQL Server 2012 στη λειτουργία συμβατή με το FIPS 140-2.Σημειώσεις
-
Οι όροι "FIPS 140-2 συμμορφούμενα", "συμβατότητα FIPS 140-2," και "FIPS 140-2-συμβατή κατάσταση λειτουργίας" ορίζονται εδώ για χρήση και σαφήνεια. Αυτοί οι όροι δεν είναι αναγνωρισμένοι ή καθορισμένοι κρατικοί όροι. Οι κυβερνήσεις των Ηνωμένων Πολιτειών και του Καναδά αναγνωρίζουν την επικύρωση των κρυπτογραφικών λειτουργικών μονάδων με βάση πρότυπα όπως το FIPS 140-2 και όχι τη χρήση κρυπτογραφικών λειτουργικών μονάδων με καθορισμένο ή συμμορφώνεται με αυτόν τον τρόπο. Σε αυτό το άρθρο, χρησιμοποιούμε τη φράση "FIPS 140-2-συμβατή", "συμβατότητα με FIPS 140-2" και "λειτουργία συμβατή με FIPS 140-2", με την έννοια ότι ο SQL Server 2012 χρησιμοποιεί μόνο FIPS 140-2-επικυρωμένες παρουσίες αλγορίθμων και συναρτήσεων κατακερματισμού σε όλες τις περιπτώσεις στις οποίες τα κρυπτογραφημένα ή κατακερματισμένα δεδομένα εισάγονται ή εξάγονται από τον SQL Server 2012. Επιπλέον, αυτό σημαίνει ότι ο SQL Server 2012 θα διαχειρίζεται τα πλήκτρα με ασφαλή τρόπο, όπως απαιτείται από το FIPS 140-2-επικυρωμένες κρυπτογραφικές λειτουργικές μονάδες. Η διαδικασία διαχείρισης πλήκτρων περιλαμβάνει επίσης τη δημιουργία κλειδιών και την αποθήκευση κλειδιών.
-
Χρησιμοποιούμε "πιστοποιημένα" εδώ για να σημάνουμε ότι η παρουσία του αλγορίθμου έχει επικυρωθεί με το FIPS 140-2 ή ότι το λειτουργικό σύστημα περιέχει FIPS 140-2-επικυρωμένες παρουσίες αλγορίθμων.
Περισσότερες πληροφορίες
Τι είναι το FIPS;
Το ομοσπονδιακό πρότυπο επεξεργασίας πληροφοριών (FIPS) είναι ένα πρότυπο που αναπτύχθηκε από τα ακόλουθα δύο κυβερνητικά όργανα:
-
Το Εθνικό Ινστιτούτο προτύπων και τεχνολογίας (NIST) στις Ηνωμένες Πολιτείες
-
Το ίδρυμα ασφάλειας επικοινωνιών (ΧΑΚ) στον Καναδά
Τα πρότυπα FIPS είτε συνιστώνται είτε έχουν εξουσιοδοτηθεί για χρήση σε συστήματα ΤΠ που λειτουργούν σε ομοσπονδιακή κυβέρνηση στις Ηνωμένες Πολιτείες και στον Καναδά.
Τι είναι το FIPS 140-2;
Το FIPS 140-2 είναι μια δήλωση που έχει τίτλο "απαιτήσεις ασφαλείας για λειτουργικές μονάδες κρυπτογράφησης". Καθορίζει τους αλγόριθμους κρυπτογράφησης και τους αλγόριθμους κατακερματισμού που μπορούν να χρησιμοποιηθούν και τον τρόπο με τον οποίο θα δημιουργηθούν και θα διαχειριστούμε τα κλειδιά κρυπτογράφησης. Ορισμένα υλικά, λογισμικό και διεργασίες μπορούν να είναι πιστοποιημένα με FIPS 140-2 και ορισμένες συσκευές, λογισμικό και διεργασίες μπορούν να είναι συμβατές με το FIPS 140-2.
Ποια είναι η διαφορά μεταξύ του FIPS 140-2 συμβατό και του FIPS 140-2 με πιστοποίηση;
Ο SQL Server 2012 μπορεί να ρυθμιστεί και να εκτελεστεί με τρόπο συμβατό με το FIPS 140-2. Για να ρυθμίσετε τις παραμέτρους του SQL Server 2012 με αυτόν τον τρόπο, ο SQL Server 2012 πρέπει να εκτελείται σε λειτουργικό σύστημα με πιστοποίηση FIPS 140-2 ή σε λειτουργικό σύστημα που παρέχει μια κρυπτογραφική λειτουργική μονάδα που είναι πιστοποιημένη. Η διαφορά μεταξύ της συμμόρφωσης και της πιστοποίησης δεν είναι ανεπαίσθητη. Οι αλγόριθμοι μπορούν να πιστοποιηθούν. Δεν επαρκεί η χρήση ενός αλγορίθμου από τις εγκεκριμένες λίστες στο FIPS 140-2. Αντί για αυτό, πρέπει να χρησιμοποιήσετε μια παρουσία ενός τέτοιου αλγορίθμου που έχει πιστοποιηθεί. Η πιστοποίηση απαιτεί έλεγχο και επαλήθευση από ένα εργαστήριο αξιολόγησης που έχει εγκριθεί από την κυβέρνηση. Ο Windows Server 2003, τα Windows XP και ο Windows Server 2008 περιέχουν τους επιτρεπόμενους αλγόριθμους και μια παρουσία κάθε ενός από αυτά τα λειτουργικά συστήματα είναι δοκιμασμένο εργαστήριο αξιολόγησης και επικυρωμένη από την κυβέρνηση.
Ποια προϊόντα εφαρμογών μπορούν να είναι συμβατά με το FIPS 140-2;
Όλες οι εφαρμογές που εκτελούν κρυπτογράφηση ή κατακερματισμό και που εκτελούνται σε μια πιστοποιημένη έκδοση των Windows μπορούν να συμμορφωθούν με τη χρήση μόνο των πιστοποιημένων παρουσιών των εγκεκριμένων αλγορίθμων και με τη συμμόρφωση με τις απαιτήσεις δημιουργίας κλειδιών και διαχείρισης κλειδιών, χρησιμοποιώντας τη συνάρτηση Windows για τη δημιουργία κλειδιών και τη διαχείριση κλειδιών ή συμμορφώνονται με τις απαιτήσεις βασικής δημιουργίας και διαχείρισης κλειδιών εντός της εφαρμογής. Θα πρέπει να γνωρίζετε ότι οι περιοχές σε μια εφαρμογή συμβατή με το FIPS μπορεί να υπάρχουν όπου είναι ενεργοποιημένες οι μη συμμορφούμενοι αλγόριθμοι ή διεργασίες. Για παράδειγμα, επιτρέπονται ορισμένες εσωτερικές διεργασίες που παραμένουν εντός του συστήματος και ορισμένα εξωτερικά δεδομένα που πρέπει να κρυπτογραφούνται επιπλέον από την παρουσία ενός πιστοποιημένου αλγορίθμου.
Ο SQL Server 2012 είναι πάντα συμβατός με το FIPS 140-2;
Όχι. Ο SQL Server 2012 μπορεί να είναι συμβατός με το FIPS 140-2, επειδή μπορεί να ρυθμιστεί και να εκτελεστεί με τέτοιο τρόπο ώστε να χρησιμοποιεί μόνο τις παρουσίες αλγορίθμου πιστοποιημένων με FIPS 140-2 που καλούνται με χρήση του CryptoAPI για κρυπτογράφηση ή με κατακερματισμό σε κάθε παρουσία όπου απαιτείται συμμόρφωση με το FIPS 140-2.
Πώς μπορεί να ρυθμιστεί ο SQL Server 2012 ώστε να είναι συμβατός με το FIPS 140-2;
-
Απαίτηση λειτουργικού συστήματος: Πρέπει να εγκαταστήσετε τον SQL Server 2012 σε ένα διακομιστή που βασίζεται σε ένα από τα ακόλουθα λειτουργικά συστήματα:
-
Windows Server 2003
-
Windows XP
-
Windows Server 2008
-
-
Απαίτηση διαχείρισης συστήματος των Windows: Η λειτουργία FIPS πρέπει να έχει καθοριστεί πριν από την εκκίνηση του SQL Server 2012. Ο SQL Server διαβάζει τη ρύθμιση κατά την εκκίνηση. Για να καθορίσετε τη λειτουργία FIPS, ακολουθήστε τα παρακάτω βήματα:
-
Συνδεθείτε στα Windows ως διαχειριστής συστήματος των Windows.
-
Κάντε κλικ στο κουμπί Έναρξη.
-
Κάντε κλικ στην επιλογή Πίνακας ελέγχου.
-
Κάντε κλικ στην επιλογή Εργαλεία διαχείρισης.
-
Κάντε κλικ στην επιλογή τοπική πολιτική ασφαλείας. Εμφανίζεται το παράθυρο τοπικές ρυθμίσεις ασφαλείας .
-
Στο παράθυρο περιήγησης, κάντε κλικ στην επιλογή τοπικές πολιτικέςκαι, στη συνέχεια, κάντε κλικ στην επιλογή επιλογές ασφαλείας.
-
Στο δεξιό τμήμα του παραθύρου, κάντε διπλό κλικ στην επιλογή Κρυπτογραφία συστήματος: Χρησιμοποιήστε αλγόριθμους συμβατούς με το FIPS για κρυπτογράφηση, κατακερματισμό και υπογραφή.
-
Στο παράθυρο διαλόγου που εμφανίζεται, κάντε κλικ στην επιλογή ενεργοποιημένοκαι, στη συνέχεια, κάντε κλικ στην επιλογή εφαρμογή.
-
Κάντε κλικ στο κουμπί OK.
-
Κλείστε το παράθυρο τοπικές ρυθμίσεις ασφαλείας .
-
-
Απαίτηση διαχειριστή διακομιστή SQL
-
Όταν η υπηρεσία SQL Server εντοπίζει ότι η λειτουργία FIPS είναι ενεργοποιημένη κατά την εκκίνηση, ο SQL Server καταγράφει το ακόλουθο μήνυμα στο αρχείο καταγραφής σφαλμάτων του SQL Server:
Η μεταφορά του Service Broker εκτελείται σε λειτουργία συμμόρφωσης FIPS.Επιπλέον, ενδέχεται να δείτε το ακόλουθο μήνυμα που έχει καταγραφεί στο αρχείο καταγραφής συμβάντων των Windows:
Μπορείτε να επαληθεύσετε ότι ο διακομιστής λειτουργεί με τη λειτουργία FIPS αναζητώντας αυτά τα μηνύματα.
-
Για την ασφάλεια παραθύρου διαλόγου (μεταξύ υπηρεσιών), η κρυπτογράφηση χρησιμοποιεί την παρουσία του AES με πιστοποίηση FIPS, εάν είναι ενεργοποιημένη η λειτουργία FIPS. Εάν η λειτουργία FIPS είναι απενεργοποιημένη, η κρυπτογράφηση χρησιμοποιεί το RC4.
-
Όταν ρυθμίζετε τις παραμέτρους ενός τελικού σημείου υπηρεσίας Broker στη λειτουργία FIPS, ο διαχειριστής πρέπει να καθορίσει "AES" για το Service Broker. Εάν το τελικό σημείο έχει ρυθμιστεί για RC4, ο SQL Server θα δημιουργήσει ένα σφάλμα. Επομένως, το επίπεδο μεταφοράς δεν θα ξεκινήσει.
-
Πώς λειτουργεί ο SQL Server 2012 σε λειτουργία συμβατή με FIPS 140-2;
-
Με ενεργοποιημένη τη λειτουργία FIPS στα Windows, σε όλες τις περιοχές όπου ο χρήστης δεν έχει καμία επιλογή σχετικά με το αν θα κρυπτογραφηθεί/κατακερματισμός και πώς θα γίνει, ο SQL Server 2012 θα εκτελεστεί σύμφωνα με το FIPS 140-2. (Ο SQL Server 2012 θα χρησιμοποιήσει το CryptoAPI στα Windows και θα χρησιμοποιήσει μόνο τις πιστοποιημένες παρουσίες των αλγορίθμων.)
-
Με ενεργοποιημένη τη λειτουργία FIPS στα Windows, σε όλες τις περιοχές όπου ο χρήστης έχει τη δυνατότητα επιλογής του εάν θα χρησιμοποιήσει κρυπτογράφηση, ο SQL Server 2012 είτε θα ενεργοποιήσει μόνο την κρυπτογράφηση συμβατή με FIPS 140-2 είτε δεν θα ενεργοποιήσει οποιαδήποτε κρυπτογράφηση.
-
Σημαντικές πληροφορίες για τους προγραμματιστές λογισμικούΣε όλες τις περιοχές όπου ο προγραμματιστής ή ο χρήστης εγγράφει τον δικό του κωδικό για κρυπτογράφηση ή κατακερματισμό, πρέπει να του δοθεί η εντολή να χρησιμοποιήσει μόνο το CryptoAPI (και επομένως μόνο τις πιστοποιημένες παρουσίες) και να καθορίσει μόνο τους αλγόριθμους που επιτρέπονται από το FIPS 140-2. Συγκεκριμένα, πρέπει να καθορίζουν μόνο το Triple DES (3DES) ή το AES για κρυπτογράφηση και μόνο το SHA-1 για κατακερματισμό.
Ποιο είναι το αποτέλεσμα της εκτέλεσης του SQL Server 2012 σε λειτουργία συμβατή με το FIPS 140-2;
-
Η χρήση ισχυρότερης κρυπτογράφησης μπορεί να έχει μικρή επίπτωση στην απόδοση για αυτές τις διεργασίες για τις οποίες επιτρέπεται λιγότερη ισχυρή κρυπτογράφηση όταν η διεργασία δεν λειτουργεί ως συμβατή με FIPS 140-2.
-
Η επιλογή της κρυπτογράφησης για το SSIS (UseEncryption = TRUE) θα δημιουργήσει ένα μήνυμα σφάλματος που αναφέρει ότι η διαθέσιμη κρυπτογράφηση δεν είναι συμβατή με τη συμμόρφωση με το FIPS και δεν επιτρέπεται. Με άλλα λόγια, δεν εκτελείται κρυπτογράφηση της διαδικασίας μηνύματος.
-
Η χρήση της κρυπτογράφησης μαζί με το DTS παλαιού τύπου δεν είναι συμβατή με το FIPS 140-2. Θα πρέπει να γνωρίζετε ότι για DTS, η λειτουργία FIPS στα Windows δεν είναι επιλεγμένο. Επομένως, είναι ευθύνη του χρήστη να επιλέξει καμία κρυπτογράφηση για να παραμείνει συμβατή.
-
Επειδή οι περισσότερες διαδικασίες κρυπτογράφησης και κατακερματισμού του SQL Server 2012 είναι ήδη συμβατές με το FIPS 140-2, η εκτέλεση με πλήρη συμμόρφωση (δηλαδή, με τη λειτουργία FIPS στα Windows ενεργοποιημένη) θα έχει μικρή ή καθόλου επίδραση στη χρήση ή την απόδοση του προϊόντος.
Πού μπορώ να μάθω περισσότερα σχετικά με το FIPS 140-2;
Για περισσότερες πληροφορίες σχετικά με το πρότυπο FIPS 140-2 και τον τρόπο λήψης του, μεταβείτε στην ακόλουθη τοποθεσία Web του NIST:
http://csrc.nist.gov/cryptval/140-2.htmΗ Microsoft παρέχει πληροφορίες επικοινωνίας με άλλους κατασκευαστές, για να σας βοηθήσει να βρείτε τεχνική υποστήριξη. Αυτές οι πληροφορίες επικοινωνίας ενδέχεται να αλλάξουν χωρίς προειδοποίηση. Η Microsoft δεν εγγυάται την ακρίβεια αυτών των πληροφοριών επικοινωνίας με άλλους κατασκευαστές.
