1.8. FIPS 140-2 準拠のクレデンシャルストアの作成

手順

1. $JAVA_HOME/conf/security/nss.fips.cfg ファイルの nssDbMode の値を readWrite に更新します。

   nss.fips.cfg コンテンツの例

   name = NSS-FIPS
   nssLibraryDirectory = /usr/lib64
   nssSecmodDirectory = sql:/etc/pki/nssdb
   nssDbMode = readWrite
   nssModule = fips
   
   attributes(*,CKO_SECRET_KEY,CKK_GENERIC_SECRET)={ CKA_SIGN=true }

2. AES シークレットキーを生成してクレデンシャルストアを暗号化します。

   注記

   コマンドでストアパスワード NONE を使用する必要があります。

   構文

   # keytool -genseckey -keystore NONE -storetype PKCS11 -storepass NONE -alias <key_alias> -keyalg <symmetric_key_algorithm> -keysize <key_size>

   例

   # keytool -genseckey -keystore NONE -storetype PKCS11 -storepass NONE -alias exampleKeyAlias -keyalg AES -keysize 256

3. シークレットキーの読み取りが可能か検証します。

   # keytool -list -storetype pkcs11 -storepass NONE
   
   Keystore type: PKCS11
   Keystore provider: SunPKCS11-NSS-FIPS
   
   Your keystore contains 1 entry
   
   exampleKeyAlias, SecretKeyEntry,

4. $JAVA_HOME/conf/security/nss.fips.cfg ファイルの nssDbMode の値を readOnly に更新します。

   nss.fips.cfg コンテンツの例

   name = NSS-FIPS
   nssLibraryDirectory = /usr/lib64
   nssSecmodDirectory = sql:/etc/pki/nssdb
   nssDbMode = readOnly
   nssModule = fips
   
   attributes(*,CKO_SECRET_KEY,CKK_GENERIC_SECRET)={ CKA_SIGN=true }

5. 管理 CLI のプロバイダーリストに SunJCE プロバイダーを追加します。

   1. SunJCE のプロバイダーローダーを追加します。

      /subsystem=elytron/provider-loader=SunJCE:add(class-names=[com.sun.crypto.provider.SunJCE])
      {"outcome" => "success"}

   2. アグリゲートプロバイダーで Elytron および SunJCE を設定します。

      構文

      /subsystem=elytron/aggregate-providers=<aggregate_provider_name>:add(providers=[elytron,SunJCE])

      例

      /subsystem=elytron/aggregate-providers=exampleAggregateProvider:add(providers=[elytron,SunJCE])
      {"outcome" => "success"}

      注記

      プロバイダーはコマンドで定義されている順序で呼び出されます。

6. SunJCE プロバイダーを使用して Elytron でクレデンシャルストアを作成します。

   構文

   /subsystem=elytron/credential-store=<credential_store_name>:add(implementation-properties={keyStoreType => PKCS11, external => true, keyAlias => <key_alias>, externalPath => <path_where_credential_store_is_to_be_saved>}, modifiable=true, credential-reference={clear-text=<password>}, create=true, other-providers=<aggregate_provider_name>)

   例

   /subsystem=elytron/credential-store=exampleFipsCredentialStore:add(implementation-properties={keyStoreType => PKCS11, external => true, keyAlias => exampleKeyAlias, externalPath => /home/ashwin/example.store}, modifiable=true, credential-reference={clear-text=secret}, create=true, other-providers=exampleAggregateProvider)
   {"outcome" => "success"}

検証

1. クレデンシャルストアにエイリアスを追加します。

   構文

   /subsystem=elytron/credential-store=<credential_store_name>:add-alias(alias=<alias>, secret-value=<secret_value>)

   例

   /subsystem=elytron/credential-store=exampleFipsCredentialStore:add-alias(alias=exampleAlias, secret-value=secret)
   {"outcome" => "success"}

2. クレデンシャルストアのエイリアスを一覧表示します。

   構文

   /subsystem=elytron/credential-store=<credential_store_name>:read-aliases()

   例

   /subsystem=elytron/credential-store=exampleFipsCredentialStore:read-aliases()
   {
       "outcome" => "success",
       "result" => ["examplealias"]
   }

手順

1. 次のリンクから BouncyCastle jar をダウンロードします。

   • bc-fips-N jar: Bouncy Castle Provider (FIPS Distribution) Maven

   • bctls-fips-N jar: Bouncy Castle TLS/JSSE APIs (FIPS Distribution)

     N は BouncyCastle FIPS プロバイダーのバージョンを表します。

     ご使用の環境に適合する BouncyCastle FIPS プロバイダーの最新認定バージョンに関する情報は、The Legion of the Bouncy Castle を参照してください。

2. 次の内容を含む java.security という設定ファイルを作成します。

   fips.provider.1=org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider
   fips.provider.2=org.bouncycastle.jsse.provider.BouncyCastleJsseProvider fips:BCFIPS
   fips.provider.3=SUN
   fips.provider.4=SunEC
   fips.provider.5=com.sun.net.ssl.internal.ssl.Provider

   注記

   デフォルトの java.security ファイル内の FIPS プロバイダーを変更しないでください。この手順で説明されているように、独自の java.security プロパティーファイルを使用することを推奨します。

3. AES シークレットキーを生成してクレデンシャルストアを暗号化します。

   構文

   $ keytool -J-Djava.security.properties=<java_security_file> -genseckey -keystore "<keystore_name>" -storetype BCFKS -storepass <store_password> -alias <key_alias> -keyalg <symmetric_key_algorithm> -keysize <key_size> -keypass <key_password>  -provider org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath <path_to_bc-fips_jar>  -dname "<certificate_contents>" -validity <validity_in_days>

   例

   $ keytool -J-Djava.security.properties=<path_to_java_security_file>/java.security -genseckey -keystore "examplekeystore.bcfks" -storetype BCFKS -storepass password -alias exampleKeyAlias -keyalg AES -keysize 256 -keypass password -provider org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath <path_to_bc-fips_jar>/bc-fips-1.0.2.jar -dname "CN=localhost" -validity 365

4. シークレットキーの読み取りが可能か検証します。

   構文

   $ keytool -J-Djava.security.properties=<java_security_file> -list -keystore <keystore_name> -storetype BCFKS -storepass <store_password> -provider org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath <path_to_bc-fips_jar>

   例

   $ keytool -J-Djava.security.properties=<path_to_java_security_file>/java.security -list -keystore examplekeystore.bcfks -storetype BCFKS -storepass password -provider org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath <path_to_bc-fips_jar>/bc-fips-1.0.2.jar

   出力例

   Keystore type: BCFKS
   Keystore provider: BCFIPS
   
   Your keystore contains 1 entry
   
   exampleKeyAlias, Mar 1, 2023, SecretKeyEntry,

5. サービスを起動します。

6. 管理 CLI を使用して、BouncyCastle プロバイダーを使用するように JBoss EAP を設定します。

   1. SunJCE プロバイダーをプロバイダーのリストに追加します。

      /subsystem=elytron/provider-loader=SunJCE:add(class-names=[com.sun.crypto.provider.SunJCE])

   2. BouncyCastle プロバイダー jar を JBoss EAP のモジュールとして追加します。

      構文

      module add --name=org.bouncycastle.fips --resources=<path_to_bc-fips_jar>:<path_to_bctls-fips_jar>

      例

      module add --name=org.bouncycastle.fips --resources=<path_to_bc-fips_jar>/bc-fips-1.0.2.jar:<path_to_bctls-fips_jar>/bctls-fips-1.0.2.jar

   3. BouncyCastle プロバイダーのプロバイダーローダーを追加します。

      構文

      /subsystem=elytron/provider-loader=<provider_loader_name>:add(module=org.bouncycastle.fips)

      例

      /subsystem=elytron/provider-loader=exampleProviderLoader:add(module=org.bouncycastle.fips)

   4. アグリゲートプロバイダーに、BouncyCastle、SunJCE、および combined-providers を設定します。

      構文

      /subsystem=elytron/aggregate-providers=<aggregate_provider_name>:add(providers=[<provider_loader_name>,SunJCE,combined-providers])

      例

      /subsystem=elytron/aggregate-providers=exampleAggregateProvider:add(providers=[exampleProviderLoader,SunJCE,combined-providers])

      注記

      プロバイダーはコマンドで定義されている順序で呼び出されます。

   5. サーバーをリロードします。

      reload

7. BouncyCastle プロバイダーを使用して、Elytron にクレデンシャルストアを作成します。

   構文

   /subsystem=elytron/credential-store=<credential_store_name>:add(credential-reference={clear-text=<key_and_keystore_password>},implementation-properties={keyAlias=<key_alias>,external=true,externalPath=<path_to_BCFKS_credential_store>,keyStoreType=BCFKS},create=true,path=<path_to_keystore>,modifiable=true, other-providers=<aggregate_provider_name>)

   例

   /subsystem=elytron/credential-store=exampleFipsCredentialStore:add(credential-reference={clear-text=password},implementation-properties={keyAlias=exampleKeyAlias,external=true, externalPath=credentialStore.bcfks, keyStoreType=BCFKS}, create=true, path=__<path_to_keystore>__/examplekeystore.bcfks, modifiable=true, other-providers=exampleAggregateProvider)

検証

1. クレデンシャルストアにエイリアスを追加します。

   構文

   /subsystem=elytron/credential-store=<credential_store_name>:add-alias(alias=<alias>, secret-value=<secret_value>)

   例

   /subsystem=elytron/credential-store=exampleFipsCredentialStore:add-alias(alias=exampleAlias, secret-value=secret)

2. クレデンシャルストアのエイリアスを一覧表示します。

   構文

   /subsystem=elytron/credential-store=<credential_store_name>:read-aliases()

   例

   /subsystem=elytron/credential-store=exampleFipsCredentialStore:read-aliases()
   {
       "outcome" => "success",
       "result" => ["examplealias"]
   }