Red Hat Summit第2章 システム全体の暗号化ポリシーの使用
システム全体の暗号化ポリシーコンポーネントは、中核となる暗号化サブシステムを設定します。このサブシステムは、TLS、IPsec、SSH、DNSSEC、および Kerberos プロトコルを対象としています。管理者は、システムに提供されている暗号化ポリシーの中から 1 つを選択できます。
2.1. システム全体の暗号化ポリシー
システム全体のポリシーが設定されると、RHEL のアプリケーションはそのポリシーに従い、ポリシーを満たさないアルゴリズムとプロトコルの使用を拒否します (それらを使用するよう明示的に要求されている場合を除く)。つまり、システムが指定する設定でアプリケーションが実行されている場合、ポリシーはアプリケーションのデフォルトの動作に適用されます。ただし、これは必要に応じてオーバーライドできます。
RHEL 10 には、次の定義済みポリシーが含まれています。
DEFAULT- デフォルトのシステム全体の暗号化ポリシーレベルで、現在の脅威モデルに対して安全なものです。TLS プロトコルの 1.2 と 1.3、IKEv2 プロトコル、および SSH2 プロトコルが使用できます。RSA 鍵と Diffie-Hellman パラメーターは長さが 2048 ビット以上であれば許容されます。RSA 鍵交換を使用する TLS 暗号は拒否されます。
LEGACY- Red Hat Enterprise Linux 6 以前との互換性を最大限に確保します。攻撃対象領域が増えるため、セキュリティーが低下します。CBC モードの暗号は、SSH と併用できます。TLS プロトコルの 1.2 と 1.3、IKEv2 プロトコル、および SSH2 プロトコルが使用できます。RSA 鍵と Diffie-Hellman パラメーターは長さが 2048 ビット以上であれば許容されます。SHA-1 署名が TLS の外部で許可されます。RSA 鍵交換を使用する暗号が許容されます。
FUTURE将来の潜在的なポリシーをテストすることを目的とした、より厳格な将来を見据えたセキュリティーレベル。このポリシーでは、DNSSEC または HMAC として SHA-1 を使用することは許可されません。SHA2-224 および SHA3-224 ハッシュは拒否されます。128 ビット暗号は無効になります。CBC モードの暗号は、Kerberos を除き無効になります。TLS プロトコルの 1.2 と 1.3、IKEv2 プロトコル、および SSH2 プロトコルが使用できます。RSA 鍵と Diffie-Hellman パラメーターは、ビット長が 3072 以上だと許可されます。システムが公共のインターネット上で通信する場合、相互運用性の問題が発生する可能性があります。
重要カスタマーポータル API の証明書が使用する暗号化鍵は
FUTUREのシステム全体の暗号化ポリシーが定義する要件を満たさないので、現時点でredhat-support-toolユーティリティーは、このポリシーレベルでは機能しません。この問題を回避するには、カスタマーポータル API への接続中に
DEFAULT暗号化ポリシーを使用します。FIPSFIPS 140 要件に準拠します。FIPS モードの Red Hat Enterprise Linux システムはこのポリシーを使用します。
注記FIPS暗号化ポリシーを設定すると、システムが FIPS 非準拠になります。RHEL システムを FIPS 140 標準に準拠させる唯一の正しい方法は、FIPS モードでシステムをインストールすることです。また、RHEL はシステム全体のサブポリシー
FIPS:OSPPを提供します。これには、Common Criteria (CC) 認証に必要な暗号化アルゴリズムに関する追加の制限が含まれています。このサブポリシーを設定すると、システムの相互運用性が低下します。たとえば、3072 ビットより短い RSA 鍵と DH 鍵、追加の SSH アルゴリズム、および複数の TLS グループを使用できません。また、FIPS:OSPPを設定すると、Red Hat コンテンツ配信ネットワーク (CDN) 構造への接続が防止されます。さらに、FIPS:OSPPを使用する IdM デプロイメントには Active Directory (AD) を統合できません。FIPS:OSPPを使用する RHEL ホストと AD ドメイン間の通信が機能しないか、一部の AD アカウントが認証できない可能性があります。注記FIPS:OSPP暗号化サブポリシーを設定すると、システムが CC 非準拠になります。RHEL システムを CC 標準に準拠させる唯一の正しい方法は、cc-configパッケージで提供されているガイダンスに従うことです。認定済み RHEL バージョン、検証レポート、CC ガイドへのリンクのリストについては、Red Hat カスタマーポータルの Product compliance ページの Common Criteria セクションを参照してください。
Red Hat は、LEGACY ポリシーを使用する場合を除き、すべてのライブラリーがセキュアなデフォルト値を提供するように、すべてのポリシーレベルを継続的に調整します。LEGACY プロファイルはセキュアなデフォルト値を提供しませんが、このプロファイルには、簡単に悪用できるアルゴリズムは含まれていません。このため、提供されたポリシーで有効なアルゴリズムのセットまたは許容可能な鍵サイズは、Red Hat Enterprise Linux の存続期間中に変更する可能性があります。
このような変更は、新しいセキュリティー標準や新しいセキュリティー調査を反映しています。Red Hat Enterprise Linux のライフサイクル全体にわたって特定のシステムとの相互運用性を確保する必要がある場合は、そのシステムと対話するコンポーネントのシステム全体の暗号化ポリシーからオプトアウトするか、カスタム暗号化ポリシーを使用して特定のアルゴリズムを再度有効にする必要があります。
ポリシーレベルで許可されていると記載されている特定のアルゴリズムと暗号は、アプリケーションがそれらをサポートしている場合にのみ使用できます。
LEGACY | DEFAULT | FIPS | FUTURE | |
|---|---|---|---|---|
| IKEv1 | いいえ | いいえ | いいえ | いいえ |
| 3DES | いいえ | いいえ | いいえ | いいえ |
| RC4 | いいえ | いいえ | いいえ | いいえ |
| DH | 最低 2048 ビット | 最低 2048 ビット | 最低 2048 ビット | 最低 3072 ビット |
| RSA | 最低 2048 ビット | 最低 2048 ビット | 最低 2048 ビット | 最低 3072 ビット |
| DSA | いいえ | いいえ | いいえ | いいえ |
| TLS v1.1 以前 | いいえ | いいえ | いいえ | いいえ |
| TLS v1.2 以降 | はい | はい | はい | はい |
| デジタル署名および証明書の SHA-1 | はい[a] | いいえ | いいえ | いいえ |
| CBC モード暗号 | はい | いいえ[b] | いいえ[c] | いいえ[d] |
| 256 ビットより小さい鍵を持つ対称暗号 | はい | はい | はい | いいえ |
[a]
SHA-1 署名は TLS コンテキストでは無効になります。
[b]
CBC 暗号は SSH で無効になります。
[c]
CBC 暗号は、Kerberos を除くすべてのプロトコルで無効になります。
[d]
CBC 暗号は、Kerberos を除くすべてのプロトコルで無効になります。
| ||||
暗号化ポリシーと対象となるアプリケーションの詳細は、システム上の crypto-policies(7) man ページを参照してください。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}