KB2733626 – upute za korištenje sustava SQL Server 2012 u načinu kompatibilan sa sustavom FIPS 140-2

Što je FIPS?

Federalni standard za obradu informacija (FIPS) standard je razvijen od strane sljedeća dva vladina tijela:

• Nacionalni institut za standarde i tehnologiju (NIST) u Sjedinjenim Američkim Državama

• Ustanova za sigurnost komunikacija (CSE) u Kanadi

Standardi za FIPS preporučuju se ili su mandatni za korištenje u informatikama u Sjedinjenim Američkim Državama i Kanadi koje upravljaju saveznom vladom.

Što je FIPS 140-2?

FIPS 140-2 izjava je koja se naziva "sigurnosnim preduvjetima za kriptografske module". Ona određuje koje algoritme šifriranja i koje raspršene algoritme mogu koristiti i kako se mogu stvoriti i upravljati ključevima šifriranja. Neki hardver, softver i procesi mogu biti certificirani za FIPS 140-2, a neki hardver, softver i procesi mogu biti kompatibilni sa sustavom FIPS 140-2.

Koja je razlika između toga da je FIPS 140-2 kompatibilan i da je certificiran za FIPS 140-2?

SQL Server 2012 može se konfigurirati i pokretati na način sukladan FIPS 140-2. Da biste na taj način konfigurirali SQL Server 2012, SQL Server 2012 mora biti uključen u operacijski sustav koji je certificiran za FIPS 140-2 ili na operacijskom sustavu koji nudi kriptografski modul koji je potvrđen. Razlika između sukladnosti i certifikata nije suptilna. Algoritmi mogu biti certificirani. Nije dovoljno koristiti algoritam s odobrenih popisa u FIPS 140-2. Umjesto toga, morate koristiti instancu takvog algoritma koji je potvrđen. Za certifikaciju potrebna je provjera i provjera po vladinim laboratorijskim ocjenama. Windows Server 2003, Windows XP i Windows Server 2008 sadrže dopuštene algoritme, a instanca svakog od ovih operacijskih sustava jest testiran na laboratorijskim testovima i certificiranoj vladi.

Koje aplikacije proizvodi mogu biti kompatibilni sa sustavom FIPS 140-2?

Sve aplikacije koje obavljaju šifriranje ili raspršenje i koja se pokreću na certificiranoj verziji sustava Windows mogu biti sukladne pomoću samo certificiranih instanci odobrenih algoritama i pridržavanjem preduvjeta za upravljanje ključnim generacijom i ključevima pomoću funkcije sustava Windows za ključne generacije i upravljanje ključevima ili uz usklađenost ključnih i ključnih podataka u aplikaciji. Imajte na umu da područja u aplikaciji koja podržava FIPS mogu postojati u kojima su omogućeni nesukladni algoritmi ili procesi. Primjerice, neki interni procesi koji ostaju unutar sustava i neki vanjski podaci koji će biti dodatno šifrirani prema certifikatom za certificirani algoritam dopušteni su.

Je li SQL Server 2012 uvijek sukladan s kompatibilnošću 140-2?

ne. Sustav SQL Server 2012 može biti kompatibilan za FIPS 140-2 jer se može konfigurirati i izvoditi na način da koristi samo instance algoritma za FIPS 140-2 certificirane pomoću Kriptoapi-ja za šifriranje ili zbog raspršivanja u svakoj instanci u kojoj je potrebna usklađenost za FIPS 140-2.

Kako se SQL Server 2012 može konfigurirati tako da bude kompatibilan sa programom FIPS 140-2?

• Zahtjev za operacijski sustav: Morate instalirati SQL Server 2012 na poslužitelj koji se temelji na jednom od sljedećih operacijskih sustava:

  • Windows Server 2003

  • Windows XP

  • Windows Server 2008

• Zahtjev za administracijom sustava Windows: Način rada FIPS mora biti postavljen prije pokretanja sustava SQL Server 2012. SQL poslužitelj čita postavku pri pokretanju. Da biste postavili način rada FIPS, slijedite ove korake:

  1. Prijavite se u sustav Windows kao administrator sustava Windows.

  2. Kliknite Start.

  3. Kliknite Upravljačka ploča.

  4. Kliknite Administrativni alati.

  5. Kliknite lokalno sigurnosno pravilo. Prikazat će se prozor lokalne sigurnosne postavke .

  6. U navigacijskom oknu kliknite Lokalna pravila, a zatim sigurnosne mogućnosti.

  7. U desnom oknu dvokliknite kriptografija sustava: korištenje algoritama kompatibilnih sa FIPS-om za šifriranje, raspršivanje i potpisivanje.

  8. U dijaloškom okviru koji će se prikazati kliknite omogućeno, a zatim kliknite Primijeni.

  9. Kliknite U redu.

  10. Zatvori prozor lokalne sigurnosne postavke .

• Zahtjev za administratorom sustava SQL Server

  • Kada poslužitelj sustava SQL Server otkrije da je način rada za FIPS omogućen pri pokretanju sustava, SQL Server zapisuje sljedeću poruku u zapisniku pogreške sustava SQL Server:

    Prijevoznik servisiranja koristi se u načinu rada za usklađenost s FIPS-om.Uz to, u zapisniku događaja sustava Windows možete pronaći sljedeću poruku koja je prijavljena:

    Možete provjeriti je li poslužitelj pokrenut u načinu rada za FIPS tražeći te poruke.

  • Za sigurnost dijaloga (između servisa) šifriranje koristi instancu AESU certificirane za FIPS ako je omogućen način rada FIPS-a. Ako je onemogućeno način rada FIPS, šifriranje koristi RC4.

  • Kada konfigurirate krajnju točku brokera servisa u načinu FIPS, administrator mora navesti "AESU" za posrednika servisa. Ako je krajnja točka konfigurirana na RC4, SQL Server generirat će pogrešku. Stoga se sloj prijenosa neće pokrenuti.

Kako je SQL Server 2012 funkcionirala u načinu rada s kompatibilnošću FIPS 140-2?

• Ako je način rada FIPS u sustavu Windows uključen, u svim područjima u kojima korisnik nema izbora želite li šifrirati/raspršivanje i kako će se to učiniti, SQL Server 2012 izvršit će se u skladu s FIPS 140-2. (SQL Server 2012 koristit će Kriptoapi u sustavu Windows te će koristiti samo certificirane instance algoritama.)

• Ako je način rada FIPS u sustavu Windows uključen, u svim područjima u kojima korisnik ima mogućnost korištenja šifriranja, SQL Server 2012 omogućit će samo enkripciju kompatibilnu sa servisom FIPS 140-2 ili neće omogućiti šifriranje.

• Važne informacije za programere softveraU svim područjima u kojima programer ili korisnik napiše vlastiti kod za šifriranje ili raspršivanje, moraju biti upućeni da koriste samo CryptoAPI (i stoga samo certificirane instance) i određuju samo algoritme koje je dopušteno FIPS 140-2. Konkretno, moraju navesti samo trostruki DES (3DES) ili AESU za šifriranje i samo SHA-1 za raspršenje.

Koji je učinak izvođenja sustava SQL Server 2012 u načinu kompatibilan sa sustavom FIPS 140-2?

• Korištenje snažnijeg šifriranja može imati manji učinak na performanse za one procese za koje je manje moguće šifriranje dopušteno kada postupak ne funkcionira kao sukladan FIPS 140-2.

• Odabir šifriranja za SSIS (UseEncryption = TRUE) generirat će poruku o pogrešci u kojoj se navodi da dostupno šifriranje nije kompatibilno s sukladnosti FIPS i nije dopušteno. Drugim riječima, nije izvršeno nikakvo šifriranje postupka poruke.

• Korištenje šifriranja s naslijeđenim DTT-om nije usklađeno sa sustavom FIPS 140-2. Imajte na umu da na servisu TTT nije potvrđen način rada FIPS-a. Stoga je odgovornost korisnika da odaberite bez šifriranja da bi ostala sukladna.

• Budući da je većina sustava SQL Server 2012 Encryption i raspršeni procesi već FIPS 140-2 sukladan, izvršavajući ga u potpunoj usklađenosti (to jest, pomoću funkcije FIPS u sustavu Windows uključeno) imat će malo ili bez učinka na korištenje ili performanse proizvoda.

Gdje mogu saznati više o FIPS 140-2?

Dodatne informacije o standardu FIPS 140-2 i tome kako je preuzeti potražite na sljedećem web-mjestu za NIST:

http://csrc.nist.gov/cryptval/140-2.htmMicrosoft sadrži podatke za kontakt drugih proizvođača koji će vam pomoći da pronađete tehničku podršku. Podaci za kontakt mogu se promijeniti bez prethodne najave. Microsoft ne jamči točnost podataka za kontakt drugih proizvođača.