Attivare FIPS 140-3 su Sophos Firewall

Sophos Firewall supporta la modalità FIPS 140-3 Level 1 con SFOS 22 sulle XGS Appliances, sulle piattaforme virtuali supportate, su AWS e su Azure. L’attivazione non è una normale modifica della configurazione: il comando esegue un factory reset, riavvia il firewall con la configurazione di fabbrica e richiede quindi una nuova configurazione conforme a FIPS.

La sequenza sicura è quindi:

1. Confermare piattaforma, firmware e requisito di conformità.
2. Inventariare peer VPN, certificati e algoritmi necessari.
3. Conservare esternamente backup, Secure Storage Master Key e documentazione della configurazione.
4. Pianificare finestra di manutenzione, accesso alla console locale e ricostruzione completa.
5. Attivare FIPS solo su un firewall ancora standalone.
6. Ricostruire configurazione di base e produzione con algoritmi consentiti.
7. Collaudare completamente gestione, routing, regole, VPN, certificati e log.
8. Configurare HA solo in seguito.

⚠️ Attenzione: system certification fips enable elimina la configurazione attuale. Il comando non deve essere eseguito senza un piano di migrazione approvato, accesso alla console locale e ricostruzione pianificata.

Cosa significa FIPS 140-3 su Sophos Firewall

FIPS 140-3 è uno standard statunitense per i moduli crittografici. SFOS 22.0 GA e le sue maintenance release utilizzano moduli crittografici certificati FIPS. La modalità FIPS attiva limita inoltre gli algoritmi selezionabili, genera policy predefinite adeguate e convalida i certificati nuovi o importati rispetto ai requisiti FIPS.

La guida FIPS per SFOS 23 ripete l’affermazione relativa a SFOS 22.0 GA e alle sue maintenance release. Questo, da solo, non conferma la certificazione di una build SFOS 23. Per un collaudo formale, i responsabili della conformità devono confermare la build di destinazione effettiva, il modulo crittografico utilizzato e la relativa attestazione di validazione; una modalità attiva non costituisce una prova di certificazione dell’intero firewall.

La conformità FIPS è un requisito operativo formale e non equivale automaticamente alla configurazione più robusta oggi disponibile. La documentazione Sophos, ad esempio, consente SHA1 entro i limiti FIPS per determinati casi di autenticazione VPN. Per i nuovi design IPsec, IKEv2 e algoritmi moderni concordati con il peer restano il punto di partenza migliore. Comprendere e creare i profili IPsec di Sophos Firewall spiega i campi e le decisioni di sicurezza.

Verificare le piattaforme supportate

Sophos supporta la modalità FIPS su:

• XGS Appliances
• VMware vSphere
• Microsoft Hyper-V
• KVM
• Xen
• AWS
• Azure

Non è supportata su:

• Software Appliance
• hardware XG Series
• hardware SG Series

La distinzione è importante: un’appliance virtuale è supportata, mentre una Software Appliance installata su hardware x86 proprio non lo è. Sophos Firewall: hardware, virtuale o cloud? spiega i modelli operativi.

Fermarsi se modello, piattaforma o versione di destinazione non sono chiaramente supportati. La presenza di un’impostazione FIPS o di un comando CLI eseguibile non sostituisce l’approvazione della piattaforma.

Inventariare gli effetti prima dell’attivazione

Peer VPN e algoritmi

Prima del factory reset, documentare tutte le VPN di produzione con i parametri effettivamente negoziati. In modalità FIPS sono disponibili, tra gli altri, i seguenti algoritmi per le nuove configurazioni VPN:

• gruppi DH da 14 a 21
• AES-CBC e AES-GCM a 128, 192 o 256 bit
• chiavi RSA da 2048 bit in su, anche se Sophos classifica solo 2048 e 3072 come conformi a FIPS
• curve EC prime-field da 224 bit in su
• SHA1, SHA256, SHA384 e SHA512 per l’autenticazione VPN
• Preshared Key di almeno 14 byte
• TLS 1.2 e 1.3

Per IPsec non sono disponibili DH 1, 2, 5 e da 25 a 30, DES/3DES, Blowfish, Twofish, Serpent e MD5. DH 31 può essere selezionato, ma Sophos indica che la connessione non sarà conforme a FIPS. Per i certificati non sono consentiti i digest MD5 e SHA1.

La lunghezza minima della PSK di 14 byte non equivale a un requisito di 14 caratteri qualsiasi. Una nuova PSK casuale generata con caratteri ASCII facilita una verifica univoca della lunghezza, poiché in questo caso un carattere corrisponde a un byte. La sola lunghezza minima non indica la robustezza di una password prevedibile. Concordare la PSK con il peer tramite un canale protetto e non riportarla nei verbali di collaudo o nei log.

Il peer tecnico deve supportare almeno una combinazione completa e comune di fase 1 e fase 2. Questo vale anche per appliance meno recenti, VPN dei provider e gateway cloud. Se non esiste una combinazione comune, non si improvvisa durante la finestra di manutenzione. Prima si adatta il peer oppure si interrompe il progetto FIPS.

Per IPsec ad accesso remoto in Remote access VPN > IPsec > Authentication type, sono ammessi solo certificati conformi a FIPS; External CA non può essere selezionato come certificato remoto. Il requisito vale anche per l’accesso remoto L2TP con autenticazione tramite certificato e per il certificato del server SSL in Site-to-site VPN > SSL VPN > SSL VPN global settings. Il wizard IPsec offre impostazioni conformi a FIPS. Prima della migrazione, verificare l’effettiva assegnazione dei certificati di ogni connessione, non solo dimensione della chiave e digest. Utilizzare IKEv1 solo sui sistemi legacy e con algoritmi approvati FIPS; per le nuove installazioni utilizzare IKEv2.

Sophos descrive l’uso della libreria crittografica certificata FIPS per la creazione dei tunnel IPsec nella fase 1 e per SSL VPN nelle fasi 1 e 2. Non dedurne una certificazione generale dell’intera implementazione VPN o di una qualsiasi versione SFOS di destinazione.

Non dare per scontata la policy L2TP predefinita

La guida FIPS contiene due affermazioni contraddittorie per SFOS 22 e 23: da un lato descrive una policy L2TP predefinita con SHA1 al posto di MD5, dall’altro dichiara che i dispositivi FIPS non hanno una policy L2TP predefinita. Da queste indicazioni non si può dedurre né la presenza della policy né l’esistenza di un’impostazione predefinita sicura. Se è necessario utilizzare L2TP, prima della migrazione in produzione occorre verificare la policy effettivamente presente e i valori di autenticazione consentiti per la build di destinazione, chiarendo se necessario il comportamento con il supporto Sophos. Non sostituire una policy mancante con MD5 o con un altro algoritmo non consentito. Il servizio L2TP viene abilitato solo dopo un collaudo riuscito; finché la policy non è stata chiarita, questa migrazione rimane bloccata.

SSL VPN e Amazon VPC

Per SSL VPN non sono disponibili BF-CBC, 3DES, MD5 e la dimensione della chiave 1024. Un profilo SSL VPN site-to-site protetto da password proveniente da un firewall FIPS non è intercambiabile con versioni SFOS precedenti alla 18.5 MR2 e viceversa.

Una connessione Amazon VPC in modalità FIPS deve utilizzare Use VPC configuration file. Use AWS security credentials rimane visibile, ma secondo Sophos la connessione non riesce. La configurazione VPC importata deve inoltre essere adattata per utilizzare algoritmi DH e di cifratura conformi a FIPS.

Certificati e CAs

In modalità FIPS il firewall genera certificati con la libreria crittografica certificata e verifica che i certificati e le CAs caricati utilizzino algoritmi consentiti. Prima documentare:

• quali certificati utilizzano una chiave RSA o EC
• quali algoritmi digest compaiono nella catena
• quali servizi IPsec, SSL VPN, portale, WAF e SMTP fanno riferimento a un certificato
• se chiavi private, catene CA e password sono disponibili per la ricostruzione

Un certificato con una chiave formalmente consentita può comunque non funzionare a causa del nome, della validità o di una catena di trust incompleta. Importare e assegnare certificati su Sophos Firewall spiega la procedura.

Preparare il backup e la ricostruzione

Prima dell’attivazione, conservare esternamente:

• un backup cifrato aggiornato
• la password del backup e la Secure Storage Master Key usata allora
• Entities.xml come riferimento leggibile della configurazione
• documentazione di interfacce, VLAN, routing, NAT e regole firewall
• profili VPN, peer, IDs, assegnazioni dei certificati e responsabili delle PSK
• Device Access, FQDN amministrativo, DNS, NTP e dati di licenza
• design HA, Cluster ID, Peer Admin Port e cablaggio
• test di collaudo e un chiaro criterio di interruzione

Creare o ripristinare un backup di Sophos Firewall spiega il rapporto tra backup, SSMK, compatibilità del ripristino e collaudo. Sophos Firewall Config Studio può inoltre produrre un report strutturato della configurazione.

Attivare FIPS su un firewall standalone

Condizioni di arresto prima del comando

Non continuare finché uno di questi punti rimane aperto:

• nessun obiettivo di conformità confermato o nessuna approvazione del factory reset
• la piattaforma o il firmware non sono dimostrabilmente compatibili con FIPS
• il firewall fa ancora parte di un cluster HA
• non esiste una console locale o un percorso di gestione indipendente equivalente
• mancano backup, password o SSMK
• un peer VPN di produzione non supporta alcuna combinazione FIPS comune
• mancano certificati o chiavi private per la ricostruzione
• ricostruzione e collaudo non rientrano nella finestra di manutenzione

FIPS non può essere attivato o disattivato quando HA è attivo. Un cluster esistente non deve essere smantellato spontaneamente nella stessa operazione. La sua rimozione, il factory reset e la ricostruzione richiedono un piano di migrazione separato e approvato.

Eseguire il comando

Prima dell’approvazione, registrare la modalità corrente nella Device Console con il comando di sola lettura system certification fips show. Se FIPS è già attivo, enable non serve come verifica: non eseguire nuovamente il passaggio distruttivo di attivazione, ma verificare la configurazione esistente. Per l’accesso iniziale, verificare concretamente in anticipo la raggiungibilità del percorso di console adatto alla piattaforma; per VM o cloud si intende la console indipendente della piattaforma, non una connessione SSH attraverso il percorso di gestione che verrà successivamente ripristinato alle impostazioni di fabbrica.

Eseguire il seguente comando nella Device Console:

system certification fips enable

Il firewall si riavvia con le impostazioni di fabbrica. Il precedente IP di gestione e la configurazione di produzione non sono più garantiti come raggiungibili. L’accesso successivo avviene tramite il percorso locale iniziale preparato.

Non riavviare ripetutamente, non importare alla cieca la vecchia configurazione e non usare modifiche shell non documentate. Ripristinare prima configurazione iniziale, percorso di gestione, ora, DNS e licenza.

Verificare lo stato

Per visualizzare la modalità corrente:

system certification fips show

Registrare il risultato con dispositivo, build SFOS e data e ora. Device Console elenca anche un’opzione per disattivare FIPS, ma la guida FIPS ufficiale non ne documenta in modo completo gli effetti e la sequenza di ripristino. Non ricavarne una procedura a comandi. Coinvolgere il supporto Sophos per la disattivazione di FIPS o per comportamenti di ripristino non chiariti, fornendo piattaforma, build, stato HA e metadati del backup.

Ricostruire la configurazione per FIPS

La ricostruzione segue una sequenza controllata:

1. Configurare IP di gestione, accesso amministrativo, DNS, NTP e ora corrente.
2. Documentare nuovamente build del firmware e piattaforma.
3. Creare zone, interfacce, VLAN e routing e testarli localmente.
4. Importare certificati e catene CA senza aggirare gli algoritmi rifiutati.
5. Creare profili IPsec e SSL VPN solo con valori consentiti.
6. Trasferire gradualmente regole firewall, NAT, WAF e mail.
7. Configurare Device Access, MFA, logging, notifiche e integrazione Central.
8. Collaudare ogni servizio di produzione prima di passare al successivo.

In modalità FIPS il firewall genera policy predefinite con impostazioni adeguate; la policy L2TP predefinita, documentata in modo contraddittorio, non deve però essere considerata un punto di partenza certo sulla base di questa affermazione. Un default compatibile con FIPS non dimostra comunque che un peer esterno o un oggetto importato siano compatibili.

Creare HA solo dopo FIPS

Per un nuovo cluster HA, attivare prima FIPS sul firewall Primary previsto e riconfigurarlo completamente. Solo dopo si configura HA. Sophos attiva automaticamente FIPS sul firewall Auxiliary durante il setup HA.

Finché HA è attivo, FIPS non può essere attivato o disattivato su nessuno dei due dispositivi. Se HA viene successivamente disattivato, il rispettivo stato FIPS rimane invariato su entrambi.

Prima di Initiate HA, verificare:

• Il Primary funziona stabilmente in modalità FIPS.
• L’Auxiliary è preparato come piattaforma supportata con lo stesso build.
• Modelli, porte, licenze e collegamento HA soddisfano i normali requisiti HA.
• Sono disponibili un backup e il collaudo FIPS completo del Primary.
• La finestra di manutenzione comprende setup HA, sincronizzazione e test di failover.

Configurare Sophos Firewall High Availability contiene la procedura completa del cluster. LINCE segue una sequenza diversa e non va confuso con FIPS: LINCE deve essere allineato su entrambi i dispositivi standalone prima di HA, mentre Sophos trasferisce FIPS dal Primary all’Auxiliary durante il setup HA. Il limite di certificazione, l’interruzione SSH e la procedura sicura sono descritti in Comprendere e attivare la modalità LINCE su Sophos Firewall.

Collaudare la migrazione

Crittografia e configurazione

• La modifica FIPS è visibile in Log Viewer e, se supportati dal modello, nei report locali. XGS 87/87w e XGS 88/88w non supportano i report locali; su questi modelli eseguire questo controllo in Log Viewer.
• Gli algoritmi non consentiti non sono più disponibili nelle nuove configurazioni VPN e dei certificati.
• Certificati, CAs, chiavi private, SANs e catena di trust sono completi.
• I tunnel IPsec e SSL VPN negoziano i valori previsti.
• Lo stato verde del tunnel è confermato con traffico applicativo bidirezionale reale.

Rete e servizi

• WebAdmin è raggiungibile solo attraverso il percorso di gestione previsto.
• Routing, SD-WAN, DNS e NTP funzionano.
• Le regole firewall e NAT corrispondono alla Rule ID prevista.
• WAF, SMTP TLS, portali e accesso remoto presentano i certificati corretti.
• Monitoring, notifiche, backup e integrazione Central funzionano.
• Con HA, stato, sincronizzazione, failover e ritorno sono verificati separatamente.

Come prova si documentano build, ora, evento FIPS, proposals VPN testate, fingerprints dei certificati e risultati delle connessioni reali. L’assenza di un campo in un’interfaccia o un singolo ping riuscito non costituiscono una prova complessiva sufficiente.

Valutare backup e firmware

Dopo la ricostruzione riuscita, creare un nuovo backup nello stato FIPS e conservarlo in modo protetto insieme a password, SSMK, build e verbale di collaudo. Se ripristinato su una versione compatibile che supporta FIPS, il backup applica il proprio stato FIPS. Un backup con FIPS disattivato ripristina quindi uno stato con FIPS disattivato. Su una versione che non supporta FIPS, la modalità non è disponibile, indipendentemente dallo stato del backup.

Un backup non è quindi una copia neutra delle sole regole. Prima del ripristino, confermare separatamente lo stato FIPS del backup e il supporto da parte della build di destinazione, e far approvare l’impatto sulla conformità. Non utilizzare il backup non FIPS creato prima dell’attivazione come scorciatoia per la ricostruzione FIPS: un ripristino riuscito non sostituisce né la conformità FIPS degli oggetti né una nuova verifica della modalità e di tutti i servizi.

Sophos documenta un caso limitato di rollback: se FIPS viene attivato dopo una migrazione o un aggiornamento, il firewall può tornare alla versione precedente in cui FIPS era disattivato, purché la relativa configurazione sia ancora disponibile. Non è una garanzia generale di downgrade né un modo per ripristinare la configurazione FIPS attuale su qualsiasi versione precedente. Verificare prima build di destinazione, configurazione conservata, percorso di upgrade, backup, password e SSMK, e ottenere l’approvazione del percorso di ripristino. Non dedurne un comando di disattivazione improvvisato; restano validi i limiti di supporto e HA descritti sopra.

Un firmware FIPS attivo blocca il caricamento di firmware che non supporta FIPS. Questa protezione non deve essere aggirata con un cambio di modalità non pianificato. Release Notes, percorso di upgrade, backup e test delle dipendenze crittografiche restano obbligatori prima di ogni aggiornamento.

FAQ