LINCE-Modus auf Sophos Firewall einordnen und aktivieren

Sophos Firewall bietet unter SFOS 22 einen LINCE-Modus. Er begrenzt die verwendbaren kryptografischen Verfahren und verändert unter anderem das Verhalten von SSH. Sophos dokumentiert dabei keinen Factory Reset wie beim FIPS-Modus; als unmittelbare Wirkung startet der SSH-Dienst neu und bestehende SSH-Sitzungen werden getrennt.

Der wichtigste Punkt steht vor jedem Befehl: Ein aktivierter LINCE-Modus ist nicht automatisch ein Zertifizierungsnachweis für den installierten SFOS-Build. Die aktuelle Sophos-Hilfe für SFOS 22 nennt ausdrücklich SFOS 20.0 MR1 und MR2 als LINCE-zertifiziert. Wer eine formale Zertifizierung nachweisen muss, benötigt deshalb zusätzlich das Zertifikat und dessen genaue Produkt-, Versions- und Plattformgrenze.

Der sichere Ablauf ist kurz:

Compliance-Anforderung und Zertifizierungsumfang schriftlich klären.
SFOS-Build, Plattform, HA-Status und aktuelle SSH-Nutzung dokumentieren.
Backup, unabhängigen WebAdmin- oder Konsolenzugang und Rückweg testen.
SSH-Schlüssel und Clients gegen die LINCE-Algorithmen prüfen.
Bei HA den Modus auf beiden noch eigenständigen Geräten aktivieren.
system certification lince enable ausführen und den SSH-Neustart abwarten.
Managementzugang, Schlüsselanmeldung, VPNs, Syslog und Backup erneut prüfen.

⚠️ Achtung: Der Befehl trennt bestehende SSH-Verbindungen. Ohne funktionierenden WebAdmin-Zugang oder lokale Konsole und ohne kompatiblen SSH-Schlüssel darf der Modus nicht aus einer laufenden SSH-Sitzung heraus aktiviert werden.

LINCE-Modus und LINCE-Zertifizierung sind nicht dasselbe

LINCE ist eine spanische staatliche Sicherheitszertifizierung für IT-Produkte. Der Modus auf der Firewall aktiviert die von Sophos dokumentierten kryptografischen Einschränkungen. Eine Zertifizierung gilt dagegen immer nur für den im Zertifikat genannten Produktstand und Bewertungsumfang.

Die aktuelle SFOS-22-Hilfe dokumentiert den LINCE-Modus, bezeichnet aber nur SFOS 20.0 MR1 und MR2 als LINCE-zertifiziert. Daraus darf man nicht ableiten, dass SFOS 22 allein durch den aktivierten Modus formell zertifiziert ist.

Für einen Audit oder eine Ausschreibung werden deshalb mindestens diese Nachweise getrennt:

exakter Firewall-Typ und SFOS-Build
aktivierter LINCE-Modus als technische Systemeinstellung
offizielles Zertifikat mit Version, Plattform und Geltungsbereich
dokumentierte Konfiguration und Abnahme der betroffenen Dienste

Fehlt das passende Zertifikat für die Zielversion, sollte die Compliance-Stelle oder Sophos den zulässigen Migrationspfad bestätigen. Ein sichtbarer Modus oder eine eingeschränkte Algorithmusliste ersetzt diese Freigabe nicht.

Was sich kryptografisch ändert

Sophos nennt für den LINCE-Modus folgende zulässige Verfahren:

KexAlgorithms:
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
diffie-hellman-group18-sha512
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521

Encryption:
aes128-gcm@openssh.com
aes256-gcm@openssh.com

Public key authentication:
hmac-sha2-256
hmac-sha2-512

Server host key algorithms:
rsa-sha2-512
rsa-sha2-256
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521

Die Namen zeigen, warum die Vorbereitung wichtig ist: Alte SSH-Clients, alte Public Keys oder Automationssysteme können nach der Aktivierung keine gemeinsame Kombination mehr finden. Vorher deshalb alle administrativen SSH-Zugänge, Monitoring-Skripte und Backup-Automationen inventarisieren. Nur weil eine WebAdmin-Anmeldung funktioniert, ist die Public-Key-Anmeldung noch nicht bestätigt.

LINCE ist auch nicht mit FIPS 140-3 auf Sophos Firewall gleichzusetzen. FIPS hat andere Plattform-, Algorithmus- und HA-Grenzen und löst bei der Aktivierung einen Factory Reset aus. Die beiden Modi dürfen weder begrifflich noch in einem Migrationsplan ausgetauscht werden.

Aktivierung vorbereiten

Vor dem Wartungsfenster braucht es einen belastbaren Rückweg. Dazu gehören ein aktuelles verschlüsseltes Backup, das Backup-Passwort und der damalige Secure Storage Master Key. Zusätzlich müssen WebAdmin oder lokale Konsole funktionieren, ohne von der SSH-Verbindung abzuhängen, die gleich getrennt wird.

Für die technische Bestandsaufnahme dokumentieren:

SFOS-Version und Build
Standalone oder HA sowie Rolle jedes Geräts
verwendete SSH-Clients, Public Keys und Automationskonten
VPN-Gegenstellen und ausgehandelte kryptografische Werte
TLS-Syslog-Collector und dessen Zertifikatsnamen
Backup-Ziel, Restore-Ziel und aktueller LINCE-Status

Bei Public-Key-Authentisierung wird der vorhandene Schlüssel nicht auf Verdacht ersetzt. Zuerst Schlüsseltyp, Clientunterstützung und alternativer Adminzugang prüfen. Der Artikel Sophos Firewall per SSH verbinden erklärt den normalen Zugangsweg; für den LINCE-Wechsel bleibt die lokale Konsole der sicherste unabhängige Rückweg.

LINCE auf einer Standalone-Firewall aktivieren

Die Aktivierung erfolgt in der CLI mit:

system certification lince enable

Nach dem Bestätigen startet der SSH-Dienst neu. Der Abbruch der aktuellen SSH-Sitzung ist deshalb erwartbar und allein noch kein Fehler. Nicht sofort die Firewall neu starten oder weitere Befehle über eine zweite parallele SSH-Sitzung senden.

Sobald der Dienst wieder bereit ist, folgt eine frische Anmeldung. Dabei werden nicht nur Benutzername und Passwort geprüft. Bei Public-Key-Authentisierung muss genau der vorgesehene Schlüssel funktionieren. Danach WebAdmin, API-Automation und alle Systeme testen, die SSH für Sicherung oder Betrieb verwenden.

Eine erfolgreiche neue SSH-Sitzung bestätigt den Managementpfad, aber noch nicht alle Auswirkungen des Modus. Zusätzlich einen produktionsnahen VPN-Test sowie einen TLS-Syslog-Test durchführen. Beim Syslog-Transport akzeptiert SFOS im LINCE-Modus für den Namensabgleich Common Name oder Subject Alternative Name; die vollständige Konfiguration steht unter Syslog und SIEM anbinden.

Status prüfen und LINCE wieder deaktivieren

Vor jeder Modusentscheidung wird der aktuelle Status gelesen:

system certification lince show

Die Device Console stellt auch den Ausschaltbefehl bereit:

system certification lince disable

Das ist kein ungeplanter Notfall-Rollback. Bei aktivem HA ist ein Wechsel in beide Richtungen gesperrt. Zudem beschreibt die ausführliche LINCE-Hilfe den unmittelbaren Ablauf beim Ausschalten nicht, insbesondere keinen garantierten unterbrechungsfreien SSH-Betrieb. Deshalb werden unabhängiger Adminzugang, aktuelles Backup, kompatible SSH-Clients und Policies sowie ein Wartungsfenster auch für disable vorausgesetzt. Danach folgen eine neue Anmeldung, show, SSH-, API-, VPN- und TLS-Syslog-Tests sowie die Kontrolle der Systemlogs. Der bestätigte Vorzustand bleibt der Rückbauplan.

HA benötigt die richtige Reihenfolge

Bei einem neuen HA-Cluster wird LINCE zuerst auf beiden noch eigenständigen Firewalls aktiviert. Erst wenn beide Geräte denselben Modus verwenden und separat erreichbar sind, wird HA aufgebaut.

Seit SFOS 21.5 MR1 lässt sich LINCE nach dem Aufbau des Clusters weder ein- noch ausschalten. Bei einem bestehenden HA-Cluster ist ein spontaner Wechsel auf einem Node deshalb kein zulässiger Test. Der Cluster-, Wartungs- und Rückbauplan muss zuerst feststehen.

Der vollständige HA-Ablauf erklärt Rollen, Lizenzen, Synchronisierung und Abnahme. LINCE folgt dort einer anderen Logik als FIPS: Bei LINCE werden beide Standalone-Geräte vor HA angeglichen; bei FIPS aktiviert die vorbereitete Primary den Modus später auf der Auxiliary.

Backup, Restore und Firmware richtig einordnen

Auf einer kompatiblen Firewall übernimmt ein Restore den LINCE-Status des Backups. Enthält das Backup LINCE, wird der Modus aktiviert; enthält es keinen LINCE-Status, bleibt er deaktiviert. Auf einer Version ohne LINCE-Unterstützung steht der Modus nicht zur Verfügung.

Für HA gilt eine zusätzliche harte Grenze: Backup und beide Zielgeräte müssen denselben LINCE-Status haben. Stimmen diese Zustände nicht überein, wird der Restore abgelehnt. Der Status gehört deshalb zusammen mit SFOS-Build, Modell, HA-Rolle, Backup-Passwort und SSMK in das Restore-Protokoll.

Wie Kompatibilität und Secure Storage Master Key geprüft werden, steht unter Sophos Firewall Backup und Restore. Ein Backup ist erst dann ein Rückweg, wenn das geplante Zielgerät und dessen LINCE-Status den Restore tatsächlich erlauben.

Sophos dokumentiert ausserdem einen engen Firmwarefall: Wird nach einer Migration oder einem Upgrade LINCE aktiviert, kann auf die vorherige Version mit deaktiviertem LINCE zurückgerollt werden, solange deren Konfiguration noch verfügbar ist. Das ist keine allgemeine Garantie für jeden Downgrade. Upgradepfad, unterstützte Version, Konfigurationskompatibilität und Zertifizierungsumfang müssen weiterhin einzeln geprüft werden.

Abnahme nach der Aktivierung

Eine saubere Abnahme verbindet technische Funktion mit dem formalen Ziel:

Exakten SFOS-Build und Zeitpunkt dokumentieren.
Neue WebAdmin- und SSH-Anmeldung über die vorgesehenen Managementpfade prüfen.
Public-Key-Zugang mit dem produktiven Client und Schlüssel testen.
VPNs mit echtem bidirektionalem Nutztraffic abnehmen.
TLS-Syslog auf Verbindung, Namensprüfung und neue Ereignisse kontrollieren.
Bei HA beide Nodes vor dem Clusteraufbau separat prüfen.
Neues Backup erstellen und Restore-Kompatibilität dokumentieren.
Zertifikat und Bewertungsumfang dem eingesetzten Build gegenüberstellen.

Das Ergebnis sollte ausdrücklich zwischen Modus aktiv, Dienste funktionieren und formale Zertifizierung belegt unterscheiden. Diese drei Aussagen sind nicht austauschbar.

Fehler sicher eingrenzen

SSH-Verbindung endet unmittelbar nach dem Befehl

Das ist erwartetes Verhalten, weil der SSH-Dienst neu startet. Über den zuvor getesteten WebAdmin- oder Konsolenzugang prüfen, ob die Firewall normal läuft. Erst danach eine neue SSH-Verbindung aufbauen.

Public-Key-Anmeldung funktioniert nicht mehr

Client, Key-Exchange, Verschlüsselung, MAC und Host-Key-Algorithmus gegen die dokumentierte LINCE-Menge vergleichen. Den Server-Key oder alle Clients nicht während des Ausfalls blind ersetzen. Wenn keine gemeinsame Kombination existiert, über den unabhängigen Zugang zurückkehren und den Migrationsplan korrigieren.

LINCE lässt sich im HA-Cluster nicht ändern

Das ist ab SFOS 21.5 MR1 die dokumentierte Produktgrenze. Nicht versuchen, die Nodes mit undokumentierten Befehlen auseinanderzuziehen. Zuerst Backup, Managementzugang, Downtime und den vollständigen Cluster-Neuaufbau planen.

Restore auf HA wird abgelehnt

LINCE-Status des Backups und beider Zielgeräte vergleichen. Modell, SFOS-Version, SSMK und die üblichen Restore-Grenzen zusätzlich prüfen. Ein Modusunterschied wird nicht mit einem spontanen Firmwarewechsel oder einem ungeprüften zweiten Backup umgangen.

Auditor verlangt einen Zertifizierungsnachweis für SFOS 22

Der aktivierte Modus allein genügt nicht. Da die aktuelle Sophos-Seite nur SFOS 20.0 MR1 und MR2 ausdrücklich als zertifiziert nennt, muss Sophos oder die zuständige Compliance-Stelle den gültigen Nachweis für die konkrete Zielversion liefern. Bis dahin keine formale LINCE-Zertifizierung für SFOS 22 behaupten.

FAQ

Führt die Aktivierung von LINCE zu einem Factory Reset?

Sophos dokumentiert für den LINCE-Befehl einen Neustart des SSH-Dienstes und die Trennung bestehender SSH-Sitzungen, aber keinen Factory Reset. Der Factory Reset gehört zur Aktivierung des FIPS-Modus und darf nicht auf LINCE übertragen werden.

Kann LINCE nachträglich in einem HA-Cluster aktiviert werden?

Nein. Seit SFOS 21.5 MR1 lässt sich LINCE bei bestehendem HA weder ein- noch ausschalten. Beide Geräte müssen vor dem HA-Aufbau als Standalone-Firewalls auf denselben Status gebracht werden.

Ist SFOS 22 mit aktiviertem LINCE-Modus offiziell LINCE-zertifiziert?

Das lässt sich aus dem Modus nicht ableiten. Die aktuelle SFOS-22-Hilfe nennt ausdrücklich nur SFOS 20.0 MR1 und MR2 als zertifiziert. Für SFOS 22 braucht es einen separaten, zum konkreten Build und Einsatzumfang passenden Nachweis.