FIPS 140-3 auf Sophos Firewall aktivieren

Sophos Firewall unterstützt unter SFOS 22 den FIPS-140-3-Level-1-Modus auf XGS Hardware Appliances, unterstützten virtuellen Plattformen sowie AWS und Azure. Die Aktivierung ist jedoch kein normaler Konfigurationswechsel: Der Befehl führt einen Factory Reset aus, startet die Firewall mit Werkseinstellungen neu und verlangt danach eine neue, FIPS-konforme Konfiguration.

Der sichere Ablauf lautet deshalb:

1. Plattform, Firmware und Compliance-Vorgabe bestätigen.
2. VPN-Gegenstellen, Zertifikate und benötigte Algorithmen inventarisieren.
3. Backup, Secure Storage Master Key und Konfigurationsdokumentation extern sichern.
4. Wartungsfenster, lokalen Konsolenzugang und vollständigen Wiederaufbau planen.
5. FIPS nur auf einer noch eigenständigen Firewall aktivieren.
6. Grundeinrichtung und produktive Konfiguration mit zulässigen Verfahren neu aufbauen.
7. Management, Routing, Regeln, VPNs, Zertifikate und Logs vollständig abnehmen.
8. HA erst danach einrichten.

⚠️ Achtung: system certification fips enable löscht die aktuelle Konfiguration. Ohne getesteten Recovery-Weg, lokale Konsole und geplanten Wiederaufbau darf der Befehl nicht ausgeführt werden.

Was FIPS 140-3 auf Sophos Firewall bedeutet

FIPS 140-3 ist ein US-amerikanischer Standard für kryptografische Module. SFOS 22.0 GA und seine Maintenance-Versionen verwenden FIPS-zertifizierte Kryptografiemodule. Der aktivierte FIPS-Modus schränkt zusätzlich die auswählbaren Verfahren ein, erzeugt passende Standardrichtlinien und validiert neu erstellte oder importierte Zertifikate gegen die FIPS-Vorgaben.

FIPS-Konformität ist eine formale Betriebsanforderung und nicht automatisch gleichbedeutend mit der stärksten heute verfügbaren Konfiguration. So erlaubt die Sophos-Dokumentation innerhalb der FIPS-Grenzen auch SHA1 für bestimmte VPN-Authentisierungsfälle. Für neue IPsec-Designs bleiben IKEv2 und moderne, mit der Gegenstelle abgestimmte Algorithmen die bessere Ausgangslage. Die Felder und Sicherheitsentscheidungen erklärt Sophos Firewall IPsec-Profile verstehen und erstellen.

Unterstützte Plattformen prüfen

Sophos unterstützt den FIPS-Modus auf:

• XGS Series Hardware Appliances
• VMware vSphere
• Microsoft Hyper-V
• KVM
• Xen
• AWS
• Azure

Nicht unterstützt werden:

• Software Appliances
• XG Series Hardware
• SG Series Hardware

Die Unterscheidung ist wichtig: Eine virtuelle Appliance ist unterstützt, eine auf eigener x86-Hardware installierte Software Appliance dagegen nicht. Der Artikel Sophos Firewall: Hardware, virtuell oder Cloud? erklärt die Betriebsmodelle.

Stoppen, wenn Modell, Plattform oder Zielversion nicht eindeutig unterstützt ist. Ein vorhandener FIPS-Schalter oder ein ausführbarer CLI-Befehl ist kein Ersatz für die Plattformfreigabe.

Auswirkungen vor der Aktivierung inventarisieren

VPN-Gegenstellen und Algorithmen

Vor dem Factory Reset müssen alle produktiven VPNs mit ihren tatsächlich ausgehandelten Parametern dokumentiert werden. Im FIPS-Modus stehen für neue VPN-Konfigurationen unter anderem diese Verfahren zur Verfügung:

• DH-Gruppen 14 bis 21
• AES-CBC und AES-GCM mit 128, 192 oder 256 Bit
• RSA-Schlüssel ab 2048 Bit, wobei Sophos nur 2048 und 3072 als FIPS-konform einordnet
• EC-Prime-Field-Kurven ab 224 Bit
• SHA1, SHA256, SHA384 und SHA512 für die VPN-Authentisierung
• Preshared Keys ab 14 Byte
• TLS 1.2 und 1.3

Für IPsec sind DH 1, 2, 5 und 25 bis 30, DES/3DES, Blowfish, Twofish, Serpent und MD5 nicht verfügbar. DH 31 kann zwar ausgewählt werden, die Verbindung gilt laut Sophos damit aber nicht als FIPS-konform. Bei Zertifikaten sind MD5- und SHA1-Digests nicht zulässig.

Der technische Peer muss mindestens eine gemeinsame vollständige Phase-1- und Phase-2-Kombination unterstützen. Das gilt auch für ältere Appliances, Provider-VPNs und Cloud-Gateways. Fehlt diese gemeinsame Menge, wird nicht im Wartungsfenster improvisiert, sondern zuerst die Gegenstelle angepasst oder das FIPS-Projekt gestoppt.

SSL VPN und Amazon VPC

Für SSL VPN entfallen BF-CBC, 3DES, MD5 und die Schlüsselgrösse 1024. Ein passwortgeschütztes Site-to-Site-SSL-VPN-Profil von einer FIPS-Firewall ist nicht mit SFOS-Versionen vor 18.5 MR2 austauschbar und umgekehrt.

Bei einer Amazon-VPC-Verbindung muss im FIPS-Modus Use VPC configuration file verwendet werden. Use AWS security credentials bleibt zwar sichtbar, die Verbindung schlägt laut Sophos aber fehl. Die importierte VPC-Konfiguration muss zusätzlich auf FIPS-konforme DH- und Verschlüsselungsverfahren angepasst werden.

Zertifikate und CAs

Die Firewall erzeugt im FIPS-Modus Zertifikate mit der FIPS-zertifizierten Kryptografiebibliothek und prüft hochgeladene Zertifikate sowie CAs auf zulässige Verfahren. Vorher deshalb dokumentieren:

• welche Zertifikate einen RSA- oder EC-Schlüssel verwenden
• welche Digest-Verfahren in der Kette vorkommen
• welche IPsec-, SSL-VPN-, Portal-, WAF- und SMTP-Dienste ein Zertifikat referenzieren
• ob Private Keys, CA-Ketten und Passwörter für den Wiederaufbau verfügbar sind

Ein Zertifikat mit formal zulässigem Schlüssel kann trotzdem an Name, Laufzeit oder unvollständiger Vertrauenskette scheitern. Der Import- und Zuweisungsablauf steht unter Zertifikate auf Sophos Firewall importieren und zuweisen.

Recovery-Paket und Wiederaufbau vorbereiten

Ein normales Konfigurationsbackup bleibt unverzichtbar, ist hier aber in erster Linie der Rückweg zum bisherigen Nicht-FIPS-Zustand. Wird ein Backup mit deaktiviertem FIPS auf einer kompatiblen Firewall wiederhergestellt, ist FIPS danach ebenfalls deaktiviert. Das alte Backup kann deshalb nicht einfach eingespielt werden, um die bisherige Konfiguration unverändert im FIPS-Modus weiterzuverwenden.

Vor der Aktivierung extern sichern:

• aktuelles verschlüsseltes Backup
• Backup-Passwort und damaligen Secure Storage Master Key
• Entities.xml als lesbare Konfigurationsreferenz
• Interface-, VLAN-, Routing-, NAT- und Firewall-Regeldokumentation
• VPN-Profile, Gegenstellen, IDs, Zertifikatszuweisungen und PSK-Verantwortliche
• Device Access, Admin-FQDN, DNS, NTP und Lizenzdaten
• HA-Design, Cluster ID, Peer Admin Port und Verkabelung
• Abnahmetests und klarer Abbruchentscheid

Wie Backup, SSMK, Restore-Kompatibilität und Abnahme zusammenhängen, erklärt Sophos Firewall Backup erstellen oder wiederherstellen. Für einen strukturierten Konfigurationsreport eignet sich zusätzlich Sophos Firewall Config Studio.

Der Wiederaufbau muss auf Werkseinstellungen beginnen. Ein Import einzelner Objekte oder Editor-Ausgaben darf nur verwendet werden, wenn jede Abhängigkeit und jeder kryptografische Wert im FIPS-Modus validiert wurde. Ein ungeprüfter Vollimport ist kein Ersatz für die geplante Migration.

FIPS auf einer Standalone-Firewall aktivieren

Stop-Bedingungen vor dem Befehl

Nicht fortfahren, solange einer dieser Punkte offen ist:

• kein bestätigtes Compliance-Ziel oder keine Freigabe für den Factory Reset
• Plattform oder Firmware unterstützt FIPS nicht nachweislich
• Firewall ist noch Teil eines HA-Clusters
• kein lokaler Konsolen- oder vergleichbarer unabhängiger Managementzugang
• Backup, Passwort oder SSMK fehlen
• produktive VPN-Gegenstelle unterstützt keine gemeinsame FIPS-konforme Kombination
• Zertifikate oder Private Keys für den Wiederaufbau fehlen
• Wiederaufbau, Test und Rückweg passen nicht in das Wartungsfenster

FIPS lässt sich bei aktiviertem HA weder ein- noch ausschalten. Ein bestehender Cluster wird nicht spontan im selben Arbeitsschritt zerlegt. Dessen Auflösung, Factory Reset und Wiederaufbau benötigen einen eigenen freigegebenen Migrationsplan.

Befehl ausführen

In der Device Console folgenden Befehl ausführen:

system certification fips enable

Die Firewall startet mit Werkseinstellungen neu. Danach ist weder die vorherige Management-IP noch die produktive Konfiguration garantiert erreichbar. Der weitere Zugriff erfolgt über den vorbereiteten lokalen Initialzugang.

Nicht mehrfach neu starten, keine alte Konfiguration blind importieren und keine nicht dokumentierten Shell-Eingriffe verwenden. Zuerst Initialsetup, Managementpfad, Zeit, DNS und Lizenz sauber herstellen.

Konfiguration FIPS-konform neu aufbauen

Der Wiederaufbau folgt einer kontrollierten Reihenfolge:

1. Management-IP, Adminzugang, DNS, NTP und aktuelle Uhrzeit einrichten.
2. Firmware-Build und Plattform erneut dokumentieren.
3. Zonen, Interfaces, VLANs und Routing aufbauen und lokal testen.
4. Zertifikate und CA-Ketten importieren; abgewiesene Verfahren nicht umgehen.
5. IPsec- und SSL-VPN-Profile nur mit zulässigen Werten erstellen.
6. Firewall-, NAT-, WAF- und Mailregeln schrittweise übernehmen.
7. Device Access, MFA, Logging, Benachrichtigungen und Central-Anbindung einrichten.
8. Jeden produktiven Dienst einzeln abnehmen, bevor der nächste folgt.

Die Firewall erzeugt Standardrichtlinien im FIPS-Modus mit passenden Einstellungen. Ein FIPS-fähiger Default ist trotzdem keine Bestätigung, dass eine externe Gegenstelle oder ein importiertes Objekt kompatibel ist.

HA erst nach FIPS aufbauen

Bei einem neuen HA-Cluster wird FIPS zuerst auf der vorgesehenen Primary Firewall aktiviert und diese vollständig neu eingerichtet. Erst danach wird HA aufgebaut. Sophos aktiviert FIPS beim HA-Aufbau automatisch auf der Auxiliary Firewall.

Solange HA aktiv ist, kann FIPS auf keinem der beiden Geräte ein- oder ausgeschaltet werden. Wird HA später deaktiviert, bleibt der jeweilige FIPS-Status auf beiden Geräten erhalten.

Vor Initiate HA prüfen:

• Primary läuft stabil im FIPS-Modus.
• Auxiliary ist als unterstützte Plattform mit passendem Build vorbereitet.
• Modelle, Ports, Lizenzierung und HA-Link erfüllen die normalen HA-Voraussetzungen.
• Backup und vollständige FIPS-Abnahme der Primary sind vorhanden.
• Wartungsfenster umfasst HA-Aufbau, Synchronisierung und Failover-Test.

Der vollständige Clusterablauf steht unter Sophos Firewall High Availability einrichten. LINCE folgt einer anderen Reihenfolge und darf nicht mit FIPS gleichgesetzt werden: LINCE muss vor HA auf beiden eigenständigen Geräten angeglichen werden, während Sophos FIPS beim HA-Aufbau von der Primary auf die Auxiliary überträgt.

Abnahme nach der Migration

Kryptografie und Konfiguration

• Log Viewer und Reports zeigen die FIPS-Änderung.
• Nicht zulässige Algorithmen stehen bei neuen VPN- und Zertifikatskonfigurationen nicht mehr zur Verfügung.
• Zertifikate, CAs, Private Keys, SANs und Vertrauenskette sind vollständig.
• IPsec- und SSL-VPN-Tunnel handeln die erwarteten Werte aus.
• Ein grüner Tunnelstatus wird mit echtem bidirektionalem Nutztraffic bestätigt.

Netzwerk und Dienste

• WebAdmin ist nur über den vorgesehenen Managementpfad erreichbar.
• Routing, SD-WAN, DNS und NTP funktionieren.
• Firewall- und NAT-Regeln treffen mit der erwarteten Rule ID.
• WAF, SMTP TLS, Portale und Remote Access liefern die richtigen Zertifikate aus.
• Monitoring, Benachrichtigungen, Backups und Central-Anbindung funktionieren.
• Bei HA sind Status, Synchronisierung, Failover und Rückkehr separat geprüft.

Für die Beweissicherung werden Build, Zeitpunkt, FIPS-Ereignis, getestete VPN-Proposals, Zertifikats-Fingerprints und Ergebnisse der realen Verbindungen dokumentiert. Ein fehlendes Feld in einer Oberfläche oder ein einzelner erfolgreicher Ping reicht nicht als Gesamtbeweis.

Backup, Firmware und Rollback

Nach dem erfolgreichen Wiederaufbau wird ein neues Backup im FIPS-Zustand erstellt und zusammen mit Passwort, SSMK, Build und Abnahmeprotokoll geschützt abgelegt. Bei einer Wiederherstellung auf einer kompatiblen FIPS-fähigen Version übernimmt das Backup seinen FIPS-Status. Auf einer Version ohne FIPS-Unterstützung steht der Modus nicht zur Verfügung.

Eine aktive FIPS-Firmware blockiert den Upload einer Firmware, die FIPS nicht unterstützt. Diese Schutzgrenze darf nicht durch einen ungeplanten Moduswechsel umgangen werden. Vor jedem Upgrade bleiben Release Notes, Upgradepfad, Backup und Test der kryptografischen Abhängigkeiten Pflicht.

Soll die Migration abgebrochen werden, dient das vor dem Change erstellte Nicht-FIPS-Backup als dokumentierter Rückweg. Die Wiederherstellung setzt die Firewall auf den darin gespeicherten Nicht-FIPS-Zustand zurück. Danach müssen Management, Routing, VPN, HA und Dienste erneut vollständig geprüft werden.

FAQ