FIPS 140-3 auf Sophos Firewall aktivieren

Sophos Firewall unterstützt unter SFOS 22 den FIPS-140-3-Level-1-Modus auf XGS Appliances, unterstützten virtuellen Plattformen sowie AWS und Azure. Die Aktivierung ist jedoch kein normaler Konfigurationswechsel: Der Befehl führt einen Factory Reset aus, startet die Firewall mit Werkseinstellungen neu und verlangt danach eine neue, FIPS-konforme Konfiguration.

Der sichere Ablauf lautet deshalb:

1. Plattform, Firmware und Compliance-Vorgabe bestätigen.
2. VPN-Gegenstellen, Zertifikate und benötigte Algorithmen inventarisieren.
3. Backup, Secure Storage Master Key und Konfigurationsdokumentation extern sichern.
4. Wartungsfenster, lokalen Konsolenzugang und vollständigen Wiederaufbau planen.
5. FIPS nur auf einer noch eigenständigen Firewall aktivieren.
6. Grundeinrichtung und produktive Konfiguration mit zulässigen Verfahren neu aufbauen.
7. Management, Routing, Regeln, VPNs, Zertifikate und Logs vollständig abnehmen.
8. HA erst danach einrichten.

⚠️ Achtung: system certification fips enable löscht die aktuelle Konfiguration. Ohne freigegebenen Migrationsplan, lokale Konsole und geplanten Wiederaufbau darf der Befehl nicht ausgeführt werden.

Was FIPS 140-3 auf Sophos Firewall bedeutet

FIPS 140-3 ist ein US-amerikanischer Standard für kryptografische Module. SFOS 22.0 GA und seine Maintenance-Versionen verwenden FIPS-zertifizierte Kryptografiemodule. Der aktivierte FIPS-Modus schränkt zusätzlich die auswählbaren Verfahren ein, erzeugt passende Standardrichtlinien und validiert neu erstellte oder importierte Zertifikate gegen die FIPS-Vorgaben.

FIPS-Konformität ist eine formale Betriebsanforderung und nicht automatisch gleichbedeutend mit der stärksten heute verfügbaren Konfiguration. So erlaubt die Sophos-Dokumentation innerhalb der FIPS-Grenzen auch SHA1 für bestimmte VPN-Authentisierungsfälle. Für neue IPsec-Designs bleiben IKEv2 und moderne, mit der Gegenstelle abgestimmte Algorithmen die bessere Ausgangslage. Die Felder und Sicherheitsentscheidungen erklärt Sophos Firewall IPsec-Profile verstehen und erstellen.

Unterstützte Plattformen prüfen

Sophos unterstützt den FIPS-Modus auf:

• XGS Appliances
• VMware vSphere
• Microsoft Hyper-V
• KVM
• Xen
• AWS
• Azure

Nicht unterstützt werden:

• Software Appliances
• XG Series Hardware
• SG Series Hardware

Die Unterscheidung ist wichtig: Eine virtuelle Appliance ist unterstützt, eine auf eigener x86-Hardware installierte Software Appliance dagegen nicht. Der Artikel Sophos Firewall: Hardware, virtuell oder Cloud? erklärt die Betriebsmodelle.

Stoppen, wenn Modell, Plattform oder Zielversion nicht eindeutig unterstützt ist. Ein vorhandener FIPS-Schalter oder ein ausführbarer CLI-Befehl ist kein Ersatz für die Plattformfreigabe.

Auswirkungen vor der Aktivierung inventarisieren

VPN-Gegenstellen und Algorithmen

Vor dem Factory Reset müssen alle produktiven VPNs mit ihren tatsächlich ausgehandelten Parametern dokumentiert werden. Im FIPS-Modus stehen für neue VPN-Konfigurationen unter anderem diese Verfahren zur Verfügung:

• DH-Gruppen 14 bis 21
• AES-CBC und AES-GCM mit 128, 192 oder 256 Bit
• RSA-Schlüssel ab 2048 Bit, wobei Sophos nur 2048 und 3072 als FIPS-konform einordnet
• EC-Prime-Field-Kurven ab 224 Bit
• SHA1, SHA256, SHA384 und SHA512 für die VPN-Authentisierung
• Preshared Keys ab 14 Byte
• TLS 1.2 und 1.3

Für IPsec sind DH 1, 2, 5 und 25 bis 30, DES/3DES, Blowfish, Twofish, Serpent und MD5 nicht verfügbar. DH 31 kann zwar ausgewählt werden, die Verbindung gilt laut Sophos damit aber nicht als FIPS-konform. Bei Zertifikaten sind MD5- und SHA1-Digests nicht zulässig.

Der technische Peer muss mindestens eine gemeinsame vollständige Phase-1- und Phase-2-Kombination unterstützen. Das gilt auch für ältere Appliances, Provider-VPNs und Cloud-Gateways. Fehlt diese gemeinsame Menge, wird nicht im Wartungsfenster improvisiert, sondern zuerst die Gegenstelle angepasst oder das FIPS-Projekt gestoppt.

Für Remote-Access-IPsec unter Remote access VPN > IPsec > Authentication type sind nur FIPS-konforme Zertifikate zulässig; External CA lässt sich nicht als Remote-Zertifikat auswählen. Das gilt für zertifikatbasierte Authentisierung auch bei L2TP Remote Access und für das SSL-Serverzertifikat unter Site-to-site VPN > SSL VPN > SSL VPN global settings. Der IPsec-Wizard bietet FIPS-konforme Einstellungen. Vor der Migration deshalb die tatsächliche Zertifikatszuweisung jeder Verbindung prüfen, nicht nur Schlüssellänge und Digest. IKEv1 bleibt auf Legacy-Systeme und FIPS-zulässige Algorithmen beschränkt; für neue Installationen IKEv2 verwenden.

Sophos beschreibt den Einsatz der FIPS-zertifizierten Kryptografiebibliothek für IPsec beim Tunnelaufbau in Phase 1 und für SSL VPN in Phase 1 und Phase 2. Daraus keinen pauschalen Zertifizierungsnachweis für den gesamten VPN-Aufbau oder eine beliebige SFOS-Zielversion ableiten.

SSL VPN und Amazon VPC

Für SSL VPN entfallen BF-CBC, 3DES, MD5 und die Schlüsselgrösse 1024. Ein passwortgeschütztes Site-to-Site-SSL-VPN-Profil von einer FIPS-Firewall ist nicht mit SFOS-Versionen vor 18.5 MR2 austauschbar und umgekehrt.

Bei einer Amazon-VPC-Verbindung muss im FIPS-Modus Use VPC configuration file verwendet werden. Use AWS security credentials bleibt zwar sichtbar, die Verbindung schlägt laut Sophos aber fehl. Die importierte VPC-Konfiguration muss zusätzlich auf FIPS-konforme DH- und Verschlüsselungsverfahren angepasst werden.

Zertifikate und CAs

Die Firewall erzeugt im FIPS-Modus Zertifikate mit der FIPS-zertifizierten Kryptografiebibliothek und prüft hochgeladene Zertifikate sowie CAs auf zulässige Verfahren. Vorher deshalb dokumentieren:

• welche Zertifikate einen RSA- oder EC-Schlüssel verwenden
• welche Digest-Verfahren in der Kette vorkommen
• welche IPsec-, SSL-VPN-, Portal-, WAF- und SMTP-Dienste ein Zertifikat referenzieren
• ob Private Keys, CA-Ketten und Passwörter für den Wiederaufbau verfügbar sind

Ein Zertifikat mit formal zulässigem Schlüssel kann trotzdem an Name, Laufzeit oder unvollständiger Vertrauenskette scheitern. Der Import- und Zuweisungsablauf steht unter Zertifikate auf Sophos Firewall importieren und zuweisen.

Backup und Wiederaufbau vorbereiten

Vor der Aktivierung extern sichern:

• aktuelles verschlüsseltes Backup
• Backup-Passwort und damaligen Secure Storage Master Key
• Entities.xml als lesbare Konfigurationsreferenz
• Interface-, VLAN-, Routing-, NAT- und Firewall-Regeldokumentation
• VPN-Profile, Gegenstellen, IDs, Zertifikatszuweisungen und PSK-Verantwortliche
• Device Access, Admin-FQDN, DNS, NTP und Lizenzdaten
• HA-Design, Cluster ID, Peer Admin Port und Verkabelung
• Abnahmetests und klarer Abbruchentscheid

Wie Backup, SSMK, Restore-Kompatibilität und Abnahme zusammenhängen, erklärt Sophos Firewall Backup erstellen oder wiederherstellen. Für einen strukturierten Konfigurationsreport eignet sich zusätzlich Sophos Firewall Config Studio.

FIPS auf einer Standalone-Firewall aktivieren

Stop-Bedingungen vor dem Befehl

Nicht fortfahren, solange einer dieser Punkte offen ist:

• kein bestätigtes Compliance-Ziel oder keine Freigabe für den Factory Reset
• Plattform oder Firmware unterstützt FIPS nicht nachweislich
• Firewall ist noch Teil eines HA-Clusters
• kein lokaler Konsolen- oder vergleichbarer unabhängiger Managementzugang
• Backup, Passwort oder SSMK fehlen
• produktive VPN-Gegenstelle unterstützt keine gemeinsame FIPS-konforme Kombination
• Zertifikate oder Private Keys für den Wiederaufbau fehlen
• Wiederaufbau und Abnahmetests passen nicht in das Wartungsfenster

FIPS lässt sich bei aktiviertem HA weder ein- noch ausschalten. Ein bestehender Cluster wird nicht spontan im selben Arbeitsschritt zerlegt. Dessen Auflösung, Factory Reset und Wiederaufbau benötigen einen eigenen freigegebenen Migrationsplan.

Befehl ausführen

In der Device Console folgenden Befehl ausführen:

system certification fips enable

Die Firewall startet mit Werkseinstellungen neu. Danach ist weder die vorherige Management-IP noch die produktive Konfiguration garantiert erreichbar. Der weitere Zugriff erfolgt über den vorbereiteten lokalen Initialzugang.

Nicht mehrfach neu starten, keine alte Konfiguration blind importieren und keine nicht dokumentierten Shell-Eingriffe verwenden. Zuerst Initialsetup, Managementpfad, Zeit, DNS und Lizenz sauber herstellen.

Status prüfen

Den aktuellen Modus zeigt:

system certification fips show

Das Ergebnis mit Gerät, SFOS-Build und Zeitpunkt dokumentieren. Die Device Console führt auch eine Option zum Ausschalten auf; die offizielle FIPS-Hilfe dokumentiert deren Auswirkungen und den Wiederherstellungsablauf jedoch nicht durchgängig. Daraus keinen Befehlsablauf ableiten. Für das Ausschalten oder ungeklärtes Restore-Verhalten den Sophos Support mit Plattform, Build, HA-Status und Backup-Metadaten einbeziehen.

Konfiguration FIPS-konform neu aufbauen

Der Wiederaufbau folgt einer kontrollierten Reihenfolge:

1. Management-IP, Adminzugang, DNS, NTP und aktuelle Uhrzeit einrichten.
2. Firmware-Build und Plattform erneut dokumentieren.
3. Zonen, Interfaces, VLANs und Routing aufbauen und lokal testen.
4. Zertifikate und CA-Ketten importieren; abgewiesene Verfahren nicht umgehen.
5. IPsec- und SSL-VPN-Profile nur mit zulässigen Werten erstellen.
6. Firewall-, NAT-, WAF- und Mailregeln schrittweise übernehmen.
7. Device Access, MFA, Logging, Benachrichtigungen und Central-Anbindung einrichten.
8. Jeden produktiven Dienst einzeln abnehmen, bevor der nächste folgt.

Die Firewall erzeugt Standardrichtlinien im FIPS-Modus mit passenden Einstellungen. Ein FIPS-fähiger Default ist trotzdem keine Bestätigung, dass eine externe Gegenstelle oder ein importiertes Objekt kompatibel ist.

HA erst nach FIPS aufbauen

Bei einem neuen HA-Cluster wird FIPS zuerst auf der vorgesehenen Primary Firewall aktiviert und diese vollständig neu eingerichtet. Erst danach wird HA aufgebaut. Sophos aktiviert FIPS beim HA-Aufbau automatisch auf der Auxiliary Firewall.

Solange HA aktiv ist, kann FIPS auf keinem der beiden Geräte ein- oder ausgeschaltet werden. Wird HA später deaktiviert, bleibt der jeweilige FIPS-Status auf beiden Geräten erhalten.

Vor Initiate HA prüfen:

• Primary läuft stabil im FIPS-Modus.
• Auxiliary ist als unterstützte Plattform mit passendem Build vorbereitet.
• Modelle, Ports, Lizenzierung und HA-Link erfüllen die normalen HA-Voraussetzungen.
• Backup und vollständige FIPS-Abnahme der Primary sind vorhanden.
• Wartungsfenster umfasst HA-Aufbau, Synchronisierung und Failover-Test.

Der vollständige Clusterablauf steht unter Sophos Firewall High Availability einrichten. LINCE folgt einer anderen Reihenfolge und darf nicht mit FIPS gleichgesetzt werden: LINCE muss vor HA auf beiden eigenständigen Geräten angeglichen werden, während Sophos FIPS beim HA-Aufbau von der Primary auf die Auxiliary überträgt. Die Zertifizierungsgrenze, der SSH-Unterbruch und der sichere Ablauf stehen unter LINCE-Modus auf Sophos Firewall einordnen und aktivieren.

Abnahme nach der Migration

Kryptografie und Konfiguration

• Log Viewer und Reports zeigen die FIPS-Änderung.
• Nicht zulässige Algorithmen stehen bei neuen VPN- und Zertifikatskonfigurationen nicht mehr zur Verfügung.
• Zertifikate, CAs, Private Keys, SANs und Vertrauenskette sind vollständig.
• IPsec- und SSL-VPN-Tunnel handeln die erwarteten Werte aus.
• Ein grüner Tunnelstatus wird mit echtem bidirektionalem Nutztraffic bestätigt.

Netzwerk und Dienste

• WebAdmin ist nur über den vorgesehenen Managementpfad erreichbar.
• Routing, SD-WAN, DNS und NTP funktionieren.
• Firewall- und NAT-Regeln treffen mit der erwarteten Rule ID.
• WAF, SMTP TLS, Portale und Remote Access liefern die richtigen Zertifikate aus.
• Monitoring, Benachrichtigungen, Backups und Central-Anbindung funktionieren.
• Bei HA sind Status, Synchronisierung, Failover und Rückkehr separat geprüft.

Für die Beweissicherung werden Build, Zeitpunkt, FIPS-Ereignis, getestete VPN-Proposals, Zertifikats-Fingerprints und Ergebnisse der realen Verbindungen dokumentiert. Ein fehlendes Feld in einer Oberfläche oder ein einzelner erfolgreicher Ping reicht nicht als Gesamtbeweis.

Backup und Firmware bewerten

Nach dem erfolgreichen Wiederaufbau wird ein neues Backup im FIPS-Zustand erstellt und zusammen mit Passwort, SSMK, Build und Abnahmeprotokoll geschützt abgelegt. Bei einer Wiederherstellung auf einer kompatiblen FIPS-fähigen Version übernimmt das Backup seinen FIPS-Status. Auf einer Version ohne FIPS-Unterstützung steht der Modus nicht zur Verfügung.

Sophos dokumentiert einen engen Rollback-Fall: Wird nach einer Migration oder einem Upgrade FIPS aktiviert, kann auf die vorherige Version mit deaktiviertem FIPS zurückgekehrt werden, solange deren Konfiguration noch verfügbar ist. Das ist keine allgemeine Downgrade-Garantie und keine Wiederherstellung der aktuellen FIPS-Konfiguration auf einer beliebigen älteren Version. Vorher Zielbuild, erhaltene Konfiguration, Upgradepfad, Backup, Passwort und SSMK prüfen und den Rückweg freigeben lassen. Daraus keinen spontanen Ausschaltbefehl ableiten; die oben genannten Support- und HA-Grenzen bleiben bestehen.

Eine aktive FIPS-Firmware blockiert den Upload einer Firmware, die FIPS nicht unterstützt. Diese Schutzgrenze darf nicht durch einen ungeplanten Moduswechsel umgangen werden. Vor jedem Upgrade bleiben Release Notes, Upgradepfad, Backup und Test der kryptografischen Abhängigkeiten Pflicht.

FAQ