FIPS の設定

連邦情報処理標準（FIPS）発行 140-2、暗号化モジュールのセキュリティ要件では、暗号化モジュールの米国政府要件が詳述されています。FIPS 140-2 では、暗号モジュールがハードウェア、ソフトウェア、ファームウェア、または何らかの組み合わせのセットで、暗号機能またはプロセスを実装し、暗号アルゴリズムおよび任意のキー生成機能を含み、明確に定義された暗号境界の内部に位置しなければならないと定義しています。

FIPS は特定の暗号アルゴリズムがセキュアであることを条件とするほか、ある暗号モジュールが FIPS 準拠であると称する場合は、どのアルゴリズムを使用すべきかも指定しています。


Note

Cisco MDS NX-OS リリース 8.3(1) 以降、FIPS は Cisco MDS デバイスに準拠しています。Cisco MDS NX-OS リリース 7.x 以前では、FIPS 機能はサポートされていますが、FIPS に準拠していません（認証プロセスは米国政府によるものです）。現在の FIPS コンプライアンスについては、Cisco FIPS 140 ドキュメントの表 1 現在の FIPS コンプライアンス レビュー セクションを参照してください。

この章は、次の項で構成されています。

設定のガイドライン

FIPS モードをイネーブルにする前に次の注意事項を守ってください。

  • パスワードは最小限 8 文字の長さで作成してください。

  • Telnet は無効のままにします。ユーザーのログインは SSH だけで行ってください。

  • RADIUS/TACACS+ によるリモート認証をディセーブルにしてください。スイッチに対してローカルのユーザーだけが認証可能です。

  • SNMP v1 および v2 をディセーブルにしてください。SNMP v3 に対して設定された、スイッチ上の既存ユーザー アカウントのいずれについても、認証およびプライバシー用 AES/3DES は SHA で設定されていなければなりません。

  • VRRP をディセーブルにしてください。


    Note

    この手順は、 Cisco NX-OSソフトウェア リリース 8.3（1）以前のバージョンに適用されます。

  • スイッチ上で FIPS と IPsec を同時に構成しないでください。FIPS が有効になっている場合、IKE を構成すると、FCIP リンクは起動しません。

  • SSH サーバーの RSA1 キー ペアすべてを削除してください。

  • FIPS が有効になっていて、Cisco MDS NX-OS リリース 8.1（x）から Cisco MDS NX-OS リリース 8.2（1）以降のリリースにアップグレードする場合、 8.2（x）リリースにアップグレードされたリリースで FIPS を無効化することはできません。

  • ファイバチャネル Security Protocol（FCSP）と Network Time Protocol（NTP）は、Cisco MDS デバイスでFIPSに準拠していません。これは、両方のプロトコルが暗号的にセキュアではなく、 FIPS 140-2 標準を満たしていないためです。Cisco MDS デバイスで MD5 を使用した FCSP や NTP などの FIPS 非準拠コンポーネントを使用すると、脆弱性につながる可能性があります。

  • Cisco MDS NX- OS 8.5(1) 以降のリリースでは、ssh-rsa が安全でない SHA1 署名を使用するため、スイッチが FIPS モードの場合、 SSH クライアントは ssh-rsa キー交換を使用しなくなる可能性があります。SSHクライアントでは、 RSAキー交換に rsa-sha2-256 を代わりに使用する必要があります。以前の NX- OS SSH サーバ バージョンでは、この制限を実施することは厳密ではありませんでした。

FIPS モードのイネーブル化

FIPS モードを有効にするには、次の手順に従ってください。

Procedure

  Command or Action Purpose

Step 1

configure terminal

Example:

switch# configure terminal

コンフィギュレーション モードに入ります。

Step 2

no ssh keytypes all

Example:

switch(config)# no ssh keytypes all

ssh-dss キー タイプを無効にします。ssh-dss アルゴリズムは FIPS 標準に準拠していません。FIPS モードを有効にする前に無効にしてください。

Step 3

fips mode enable

Example:

switch(config)# fips mode enable

FIPS モードをイネーブルにします。

Step 4

copy running-config startup-config

Example:

switch(config)# copy running-config startup-config

スイッチの構成を保存します。

Step 5

reload

Example:

switch(config)# reload
This command will reboot the system. (y/n)?  [n] y

スイッチをリロードします。

FIPS モードを有効にするには、設定を保存した後、スイッチを再起動する必要があります。

Step 6

no fips mode enable

Example:

switch(config)# no fips mode enable

（オプション）FIPS モードをディセーブルにします。

FIPS モードを無効にするには、構成を保存した後、スイッチを再起動する必要があります。

FIPS ステータスの表示

FIPS のステータスを表示するには show fips status コマンドを入力します。次に、 FIPS モードが有効になっている上記のコマンドの出力例を示します。 

switch(config)# show fips status
FIPS mode is enabled

FIPS のセルフテスト

暗号モジュールは、適正に動作していることを確認するために、電源投入時のセルフテストと条件付きセルフテストを実行しなければなりません。


Note
FIPS の電源投入時セルフテストは、fips mode enable コマンドを入力して FIPS モードがイネーブルにされていると自動的に実行されます。スイッチが FIPS モードに入るのは、すべてのセルフテストが正しく完了したときだけです。セルフテストのいずれかが失敗すると、スイッチは再起動します。

電源投入時セルフテストは、FIPS モードのイネーブル後、即時に実行されます。既知の解を使用する暗号アルゴリズム テストは、Cisco MDS 9000 ファミリ製品に実装されている FIPS 140-3 認定暗号アルゴリズムのそれぞれに対して、すべての暗号機能で実行されなければなりません。

既知解テスト（KAT）を利用すると、暗号アルゴリズムは正しい出力があらかじめわかってるデータに対して実行され、その計算出力は前回生成された出力と比較されます。計算出力が既知解と等しくない場合は、既知解テストに失敗したことになります。

何かに対応してセキュリティ機能または操作が始動された場合は、条件付きセルフテストが実行されなければなりません。電源投入時セルフテストとは異なって、条件付きセルフテストはそれぞれに関連する機能がアクセスされるたびに実行されます。

条件付きセルフテストでは次を含むテストが行われます。

  • ペア整合性テスト：このテストは公開キー/秘密キー ペアが生成されたときに実行されます。
  • 乱数連続生成テスト：このテストは乱数が生成されたときに実行されます。

以上の両方はスイッチが FIPS モードに入っていると自動的に実行されます。