6.7. パスワードによる IPsec NSS データベースの保護

手順

1. Libreswan NSS データベースのパスワード保護を有効にします。

   # certutil -W -d /var/lib/ipsec/nss/

2. 現在のパスワードを入力します。

   Enter Password or Pin for "NSS Certificate DB": <password>

   現在データベースがパスワードで保護されていない場合は、Enter を押します。

3. 新しいパスワードを入力します。

   Enter new password: <new_password>
   Re-enter password: <new_password>

4. データベースのロックを解除するために、ipsec サービスに /etc/ipsec.d/nsspassword ファイルが必要です。次の内容のファイルを作成します。

   • ホストが FIPS モードで実行されていない場合:

     NSS Certificate DB:<password>

   • ホストが FIPS モードで実行されている場合:

     NSS FIPS 140-2 Certificate DB:<password>

5. /etc/ipsec.d/nsspassword ファイルにセキュアな権限を設定します。

   # chmod 600 /etc/ipsec.d/nsspassword
   # chown root:root /etc/ipsec.d/nsspassword

6. ipsec サービスを再起動します。

   # systemctl restart ipsec

検証

1. ipsec サービスが実行されていることを確認します。

   # systemctl is-active ipsec

   コマンドで active が返された場合、サービスはパスワードファイルを使用して NSS データベースのロックを正常に解除します。

2. NSS データベースでパスワードを必要とするアクションを実行します。たとえば、秘密鍵を表示します。

   # certutil -K -d /var/lib/ipsec/nss/
   certutil: Checking token "NSS Certificate DB" in slot "NSS User Private Key and Certificate Services"
   Enter Password or Pin for "NSS Certificate DB":

   コマンドによってパスワードが要求されることを確認します。