Comprendere e attivare la modalità LINCE su Sophos Firewall

Sophos Firewall offre una modalità LINCE in SFOS 22. Limita gli algoritmi crittografici disponibili e modifica, tra le altre cose, il comportamento di SSH. Sophos non documenta un Factory Reset come per la modalità FIPS; l’effetto immediato documentato è il riavvio del servizio SSH e la disconnessione delle sessioni SSH esistenti.

Il punto più importante precede qualsiasi comando: Una modalità LINCE attiva non dimostra automaticamente la certificazione della build SFOS installata. La guida Sophos attuale per SFOS 22 indica espressamente SFOS 20.0 MR1 e MR2 come versioni certificate LINCE. Una certificazione formale richiede quindi anche il certificato e il suo esatto ambito di prodotto, versione e piattaforma.

La sequenza sicura è breve:

1. Chiarire per iscritto il requisito di conformità e l’ambito della certificazione.
2. Documentare la build SFOS, la piattaforma, lo stato HA e l’uso attuale di SSH.
3. Testare il backup, un accesso WebAdmin o console indipendente e il percorso di ripristino.
4. Verificare chiavi e client SSH rispetto agli algoritmi LINCE.
5. Per HA, attivare la modalità su entrambi i dispositivi quando sono ancora standalone.
6. Eseguire system certification lince enable e attendere il riavvio di SSH.
7. Ritestare accesso di gestione, autenticazione con chiave, VPN, syslog e backup.

⚠️ Attenzione: Il comando disconnette le connessioni SSH esistenti. Non attivare la modalità da una sessione SSH attiva senza un accesso WebAdmin o console locale funzionante e senza una chiave SSH compatibile.

Modalità LINCE e certificazione LINCE non sono la stessa cosa

LINCE è una certificazione pubblica spagnola di sicurezza per prodotti informatici. La modalità sulla firewall attiva le restrizioni crittografiche documentate da Sophos. Una certificazione, invece, si applica sempre e solo alla versione del prodotto e all’ambito di valutazione indicati nel certificato.

La guida attuale di SFOS 22 documenta la modalità LINCE, ma identifica soltanto SFOS 20.0 MR1 e MR2 come versioni certificate LINCE. Non si può quindi affermare che SFOS 22 diventi formalmente certificato attivando semplicemente la modalità.

Per un audit o una gara d’appalto occorre mantenere separati almeno questi elementi:

• tipo esatto di firewall e build SFOS
• modalità LINCE attiva come impostazione tecnica del sistema
• certificato ufficiale con versione, piattaforma e ambito
• configurazione documentata e verifica dei servizi interessati

Se non esiste un certificato adeguato per la versione di destinazione, il team di conformità o Sophos deve confermare il percorso di migrazione consentito. Una modalità visibile o un elenco ristretto di algoritmi non sostituisce questa approvazione.

Cosa cambia nella crittografia

Sophos elenca i seguenti algoritmi consentiti per la modalità LINCE:

KexAlgorithms:
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
diffie-hellman-group18-sha512
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521

Encryption:
aes128-gcm@openssh.com
aes256-gcm@openssh.com

Public key authentication:
hmac-sha2-256
hmac-sha2-512

Server host key algorithms:
rsa-sha2-512
rsa-sha2-256
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521

I nomi mostrano perché la preparazione è importante: client SSH datati, vecchie chiavi pubbliche o sistemi di automazione potrebbero non trovare più una combinazione comune dopo l’attivazione. Prima occorre inventariare tutti gli accessi SSH amministrativi, gli script di monitoraggio e le automazioni di backup. Il funzionamento di un login WebAdmin non dimostra che funzioni anche l’autenticazione con chiave pubblica.

LINCE non equivale neppure a FIPS 140-3 su Sophos Firewall. FIPS ha limiti diversi per piattaforme, algoritmi e HA e provoca un Factory Reset quando viene attivato. Le due modalità non devono essere scambiate né nella terminologia né in un piano di migrazione.

Preparare l’attivazione

Prima della finestra di manutenzione deve essere disponibile un percorso di ripristino affidabile. Comprende un backup cifrato aggiornato, la relativa password e il Secure Storage Master Key attivo quando è stato creato. WebAdmin o la console locale devono inoltre funzionare senza dipendere dalla connessione SSH che verrà interrotta.

Per l’inventario tecnico documentare:

• versione e build SFOS
• stato standalone o HA e ruolo di ogni dispositivo
• client SSH, chiavi pubbliche e account di automazione utilizzati
• peer VPN e valori crittografici negoziati
• Collector syslog TLS e nomi dei relativi certificati
• destinazione del backup, destinazione del ripristino e stato LINCE attuale

Con l’autenticazione a chiave pubblica non si sostituisce preventivamente la chiave esistente. Prima si verificano tipo di chiave, supporto del client e accesso amministrativo alternativo. Connettersi a Sophos Firewall tramite SSH spiega l’accesso normale; per il passaggio a LINCE, la console locale resta il percorso di ripristino indipendente più sicuro.

Attivare LINCE su una firewall standalone

L’attivazione avviene nella CLI con:

system certification lince enable

Dopo la conferma, il servizio SSH si riavvia. La chiusura della sessione SSH attiva è quindi prevista e, da sola, non costituisce un errore. Non riavviare subito la firewall e non inviare altri comandi tramite una seconda sessione SSH parallela.

Quando il servizio è nuovamente disponibile, effettuare un nuovo login. Non verificare solo nome utente e password. Se viene usata l’autenticazione a chiave pubblica, deve funzionare esattamente la chiave prevista. Testare poi WebAdmin, le automazioni API e ogni sistema che utilizza SSH per backup o operazioni.

Una nuova sessione SSH riuscita conferma il percorso di gestione, ma non tutti gli effetti della modalità. Eseguire anche un test VPN simile alla produzione e un test syslog TLS. Per il trasporto syslog in modalità LINCE, SFOS accetta il Common Name o il Subject Alternative Name per la corrispondenza del nome; la configurazione completa è descritta in Collegare syslog e SIEM.

Verificare lo stato e disattivare nuovamente LINCE

Prima di qualsiasi decisione sulla modalità, leggere lo stato corrente:

system certification lince show

La Device Console fornisce anche il comando per disattivare la modalità:

system certification lince disable

Non si tratta di un rollback di emergenza non pianificato. Con HA attivo, il cambio è bloccato in entrambe le direzioni. Inoltre, la guida LINCE dettagliata non descrive la sequenza immediata di disattivazione e, in particolare, non garantisce un funzionamento SSH senza interruzioni. Anche disable richiede quindi accesso amministrativo indipendente, un backup corrente, client e policy SSH compatibili e una finestra di manutenzione. In seguito si stabilisce una nuova sessione, si esegue show, si testano SSH, API, VPN e syslog TLS, e si controllano i log di sistema. Lo stato precedente confermato rimane il piano di rollback.

HA richiede la sequenza corretta

Per un nuovo cluster HA, attivare prima LINCE su entrambe le firewall ancora standalone. Creare HA solo quando entrambi i dispositivi utilizzano la stessa modalità e sono raggiungibili separatamente.

Da SFOS 21.5 MR1, LINCE non può essere attivato o disattivato dopo la creazione del cluster. Una modifica improvvisata su un nodo di un cluster HA esistente non è quindi un test valido. Pianificare prima la modifica del cluster, la finestra di manutenzione e il ripristino.

La procedura HA completa spiega ruoli, licenze, sincronizzazione e verifica. LINCE segue un modello diverso da FIPS: con LINCE si allineano entrambi i dispositivi standalone prima di HA; con FIPS, la Primary preparata attiva in seguito la modalità sull’Auxiliary.

Comprendere backup, ripristino e firmware

Su una firewall compatibile, il ripristino assume lo stato LINCE del backup. Se il backup contiene LINCE, la modalità viene attivata; se non lo contiene, la modalità resta disattivata. Su una versione che non supporta LINCE, la modalità non è disponibile.

HA aggiunge una condizione rigida: il backup e i due dispositivi di destinazione devono avere lo stesso stato LINCE. In caso contrario, il ripristino viene rifiutato. Registrare lo stato insieme a build SFOS, modello, ruolo HA, password del backup e SSMK nel protocollo di ripristino.

Backup e ripristino di Sophos Firewall spiega come verificare compatibilità e Secure Storage Master Key. Un backup è un percorso di ripristino solo se il dispositivo di destinazione previsto e il relativo stato LINCE consentono davvero il restore.

Sophos documenta inoltre un caso firmware ristretto: se LINCE viene attivato dopo una migrazione o un aggiornamento, è possibile tornare alla versione precedente in cui LINCE era disattivato, purché la sua configurazione sia ancora disponibile. Non è una garanzia generale per qualsiasi downgrade. Percorso di upgrade, versione supportata, compatibilità della configurazione e ambito della certificazione devono comunque essere verificati separatamente.

Verificare dopo l’attivazione

Una verifica affidabile combina il funzionamento tecnico con l’obiettivo formale:

1. Registrare la build SFOS esatta e l’orario.
2. Testare nuovi login WebAdmin e SSH attraverso i percorsi di gestione previsti.
3. Testare l’accesso a chiave pubblica con il client e la chiave di produzione.
4. Verificare le VPN con traffico applicativo bidirezionale reale.
5. Controllare connessione syslog TLS, verifica del nome e nuovi eventi.
6. Per HA, verificare separatamente entrambi i nodi prima di creare il cluster.
7. Creare un nuovo backup e documentare la compatibilità di ripristino.
8. Confrontare certificato e ambito di valutazione con la build installata.

Il risultato deve distinguere espressamente tra modalità attiva, servizi operativi e certificazione formale dimostrata. Queste affermazioni non sono intercambiabili.

Circoscrivere gli errori in sicurezza

La connessione SSH termina subito dopo il comando

È il comportamento previsto perché il servizio SSH si riavvia. Utilizzare il percorso WebAdmin o console verificato in precedenza per controllare che la firewall funzioni normalmente. Solo dopo stabilire una nuova connessione SSH.

Il login con chiave pubblica non funziona più

Confrontare scambio di chiavi, cifratura, MAC e algoritmo Host Key del client con l’insieme LINCE documentato. Non sostituire alla cieca la chiave del server o tutti i client durante il disservizio. Se non esiste una combinazione comune, tornare tramite l’accesso indipendente e correggere il piano di migrazione.

LINCE non può essere modificato nel cluster HA

È il limite di prodotto documentato a partire da SFOS 21.5 MR1. Non tentare di separare i nodi con comandi non documentati. Pianificare prima backup, accesso di gestione, interruzione e ricostruzione completa del cluster.

Il ripristino HA viene rifiutato

Confrontare lo stato LINCE del backup e di entrambi i dispositivi di destinazione. Verificare anche modello, versione SFOS, SSMK e normali limiti di ripristino. Non aggirare una differenza di modalità con un cambio firmware improvvisato o un secondo backup non verificato.

Un auditor richiede una prova di certificazione per SFOS 22

La modalità attiva da sola non basta. Poiché la pagina Sophos attuale indica espressamente solo SFOS 20.0 MR1 e MR2 come versioni certificate, Sophos o l’organismo di conformità responsabile deve fornire una prova valida per la specifica versione di destinazione. Fino ad allora non dichiarare una certificazione LINCE formale per SFOS 22.

FAQ