ONTAPはPerfect Forward Secrecy（PFS）をサポートしていますか。

最後の更新
PDFとして保存

Views:: 621

Visibility:: Public

Votes:: 1

Category:: ontap-9

Specialty:: nas

Last Updated:

環境

ONTAP

回答

Perfect Forward Secrecy（PFS）は、TLS 1.2 などの暗号化プロトコルと組み合わせて使用すると、攻撃者がクライアントとサーバー間のすべてのネットワークセッションを復号化するのを防ぐのに役立つ鍵交換方法です。

注：セキュリティ標準の組織や団体は、PFS対応の暗号スイートのみを利用するTLS 1.2以降を使用することを強く推奨しています。実際、ドイツのITセキュリティ機関（BSI）は、政府機関にTLS 1.2 + w/ PFSを義務付けています。

PFS では、クライアントとサーバー間のキー交換部分で、ネットワーク通信中の各セッションに一意のキーを使用する必要があります。これは、すでに 1 つのネットワークセッションを復号化した攻撃者が、クライアントとサーバー間のすべてのネットワークセッションを復号化するのを防ぐために行われます。

ONTAPは、PFSの鍵交換の原則に従った暗号スイートのみを利用するように設定できます。これらの暗号スイートを利用するようにONTAPを設定すると、1つのセッションキーが侵害されたからといって、クライアントとサーバの間のネットワークセッション全体が侵害されることがないことを保証できます。

たとえば、「中間者攻撃」を利用する攻撃者が、以前に数回のネットワークセッションを記録し、サーバーの秘密鍵を侵害することに成功した状況を想定します。このシナリオでは、PFS暗号スイートが採用されていた場合、以前に記録されたすべてのネットワークセッションは、異なるキーを使用していたため、引き続き保護されます。攻撃者は、前のセッションのデータにアクセスする前に、個々のセッションの復号化を試みる必要があります。

デフォルトでは、ONTAPではPFS対応の暗号のみを使用する必要はありません。ただし、ONTAPクラスタは、PFSを使用するキー交換のみを許可するように設定できます。これを設定する手順については、以下の手順で説明します。

advanced権限レベルで「security config modify」コマンドを使用し、PFSをサポートするDHE暗号およびECDHE暗号のみを有効にします。

注：SSLインターフェイス設定を変更する前に、クライアントがONTAPに接続するときに、前述の暗号（DHE、ECDHE）をサポートする必要があることを覚えておくことが重要です。そうしないと、接続は許可されません。

例：

Cluster01::*> security config modify -interface SSL -supported-ciphers PSK:DHE:ECDHE:!LOW:!aNULL:!EXP:!eNULL:!3DES:!kDH:!kECDH

注：PSKをサポートされている暗号として含め、削除しないことが重要です。ONTAP 9.5以降では、クラスタピアリングを機能させるためにPSKが必要です。詳細については、バグ 1222233を参照してください。

環境

回答

追加情報