Cisco AnyConnect Secure Mobility Client 管理者ガイド リリース 4.2

• Suite B 暗号化は、IKEv2/IPsec VPN 接続でだけ使用可能です。

• FIPS または Suite B のサポートは、セキュア ゲートウェイで必要です。シスコは、ASA バージョン 9.0 以降では Suite B 機能、ASA バージョン 8.4.1 以降では FIPS 機能を提供します。

• ECDSA 証明書の要件は次のとおりです。

  • カーブ強度以上のダイジェスト強度がなければなりません。たとえば、EC-384 キーは SHA2-384 以上を使用しなければなりません。

  • Windows 7 以降、Mac OS X 10.7 以降、Red Hat Enterprise Linux 6.x または 6.4（64 ビット）、Ubuntu 12.4 および 12.10（64 ビット）でサポートされています。ECDSA スマート カードは、Windows 7 でのみサポートされています。

• AnyConnect は、TLS/DTLS、SRTP、および SSH Suite B をサポートしていません。

• SHA-2 を使用して署名された証明書を検証する際、EAP 方式は、TLS ベースの EAP を除き SHA-2 をサポートしません。

• TLS v1.2 ハンドシェイクはサポートされていません。

• TLS v1.2 証明書認証はサポートされていません。

• AnyConnect クライアントの [統計情報（Statistics）] パネル（[トランスポート情報（Transport Information）] ヘッダーの下）には、使用中の暗号名が表示されます。

• AES-GCM は、計算集約型のアルゴリズムであるため、これらのアルゴリズムを使用するときは、全体的なデータ レートが低くなる可能性があります。新しい Intel プロセッサの一部は、特に AES-GCM の性能を向上させるために採用された特別な命令を含むものもあります。AnyConnect は、それが実行されるプロセッサ上でそれらの新しい命令がサポートされているかどうかを自動的に検出します。サポートされている場合は、AnyConnect は新しい命令を使用し、特別な命令を持たないプロセッサと比較して VPN データ レートを大幅に向上させます。新しい命令をサポートするプロセッサのリストについては、http:/​/​ark.intel.com/​search/​advanced/​?s=t&AESTech=true を参照してください。詳細については、http:/​/​software.intel.com/​en-us/​articles/​intel-carry-less-multiplication-instruction-and-its-usage-for-computing-the-gcm-mode/​ を参照してください。

• 暗号化と整合性の検証の両方が 1 回の操作で実行される複合モードの暗号化アルゴリズムは、ハードウェア クリプト アクセラレーションを使用する SMP ASA ゲートウェイ（5585 および 5515-X など）でのみサポートされます。AES-GCM は、シスコがサポートする複合モードの暗号化アルゴリズムです。

  （注）	IKEv2 ポリシーは、通常モードまたは複合モードの暗号化アルゴリズムのうちの 1 つを含めることができますが、両方は不可能です。複合モードのアルゴリズムが IKEv2 ポリシーで設定されると、通常モードのアルゴリズムすべてが無効になるので、唯一有効な整合性アルゴリズムは NULL です。 IKEv2 IPsec プロポーザルは別のモデルを使用し、同じプロポーザル内で標準モードと複合モードの両方の暗号化アルゴリズムを指定できます。この使用方法では、両方に整合性アルゴリズムを設定する必要があります。その結果、非 NULL 整合性アルゴリズムが AES-GCM 暗号化で設定されます。

• ASA が SSL および IPsec 用の異なるサーバ証明書で設定されている場合は、信頼できる証明書を使用してください。異なる IPsec および SSL 証明書を持つ Suite B（ECDSA）の信用されていない証明書を使用する場合、ポスチャ評価、WebLaunch、またはダウンローダの障害が発生する可能性があります。

AnyConnect FIPS のレジストリ変更によるエンドポイントに関する問題の回避

コア AnyConnect クライアントの FIPS を有効にすると、エンドポイントで Windows レジストリの設定が変更されます。エンドポイントの他のコンポーネントでは、AnyConnect が FIPS を有効にしたこと、および暗号化の使用を開始したことを検出できます。たとえば、Remote Desktop Protocol（RDP）では、サーバで FIPS 準拠の暗号化を使用している必要があるため、Microsoft Terminal Services クライアントの RDP は機能しません。

これらの問題を回避するために、パラメータ [Use FIPS compliant algorithms for encryption, hashing, and signing] を Disabled に変更することにより、[Windows Local System Cryptography] 設定で FIPS 暗号化を一時的に無効にできます。エンドポイント デバイスをリブートすると、この設定が変更されて有効に戻ることに注意してください。

次の表に、認識の必要がある、AnyConnect によって実行される Windows レジストリ変更を示します。

Windows インストールでは、Cisco MST ファイルを標準 MSI インストール ファイルに適用して、AnyConnect ローカル ポリシーで FIPS を有効にできます。この MST のダウンロード元の詳細については、FIPS 用に受け取ったライセンシング情報を参照してください。インストール時に、FIPS が有効にされた AnyConnect ローカル ポリシー ファイルが生成されます。このユーティリティを実行した後、ユーザのシステムを更新します。

（注）	この MST は FIPS だけを有効にします。その他のパラメータは変更しません。Windows インストール中に他のローカル ポリシーの設定を変更するには、「MST ファイルでのローカル ポリシー パラメータの有効化」を参照してください。

ネットワーク アクセス マネージャ プロファイルで、許可する関連付け、暗号化モード、認証方式を制限することにより、企業の従業員に対して FIPS 準拠のネットワークのみへの接続を強制します。

まず、ネットワーク アクセス マネージャのための FIPS の有効化を行い、FIPS モードを適用します。