Włączanie FIPS 140-3 na Sophos Firewall

Sophos Firewall obsługuje w SFOS 22 tryb FIPS 140-3 Level 1 na urządzeniach XGS Appliance, obsługiwanych platformach wirtualnych, AWS i Azure. Aktywacja nie jest zwykłą zmianą konfiguracji: polecenie wykonuje reset fabryczny, uruchamia firewall z ustawieniami fabrycznymi, a następnie wymaga utworzenia nowej konfiguracji zgodnej z FIPS.

Bezpieczna kolejność wygląda zatem następująco:

1. Potwierdzić platformę, firmware i wymaganie zgodności.
2. Zinwentaryzować peery VPN, certyfikaty i potrzebne algorytmy.
3. Zapisać zewnętrznie backup, Secure Storage Master Key i dokumentację konfiguracji.
4. Zaplanować okno serwisowe, lokalny dostęp do konsoli i pełną odbudowę.
5. Włączyć FIPS wyłącznie na firewallu działającym jeszcze samodzielnie.
6. Odbudować konfigurację podstawową i produkcyjną z dozwolonymi algorytmami.
7. W pełni zweryfikować zarządzanie, routing, reguły, VPN, certyfikaty i logi.
8. Dopiero potem skonfigurować HA.

⚠️ Ostrzeżenie: system certification fips enable usuwa bieżącą konfigurację. Polecenia nie wolno wykonywać bez zatwierdzonego planu migracji, lokalnego dostępu do konsoli i zaplanowanej odbudowy.

Co oznacza FIPS 140-3 na Sophos Firewall

FIPS 140-3 to amerykański standard dotyczący modułów kryptograficznych. SFOS 22.0 GA i jego wersje serwisowe korzystają z modułów kryptograficznych certyfikowanych zgodnie z FIPS. Włączony tryb FIPS dodatkowo ogranicza wybór algorytmów, tworzy odpowiednie polityki domyślne i sprawdza nowo utworzone lub zaimportowane certyfikaty pod kątem wymagań FIPS.

Pomoc dotycząca FIPS dla SFOS 23 powtarza stwierdzenie odnoszące się do SFOS 22.0 GA i jego wersji serwisowych. Samo to nie potwierdza certyfikacji buildu SFOS 23. Do formalnego odbioru osoby odpowiedzialne za zgodność muszą potwierdzić rzeczywisty build docelowy, używany moduł kryptograficzny i odpowiadający mu dowód walidacji; włączony tryb nie stanowi dowodu certyfikacji całego firewalla.

Zgodność z FIPS jest formalnym wymogiem operacyjnym i nie oznacza automatycznie najsilniejszej dostępnej obecnie konfiguracji. Dokumentacja Sophos dopuszcza na przykład SHA1 w granicach FIPS dla określonych przypadków uwierzytelniania VPN. Dla nowych projektów IPsec lepszym punktem wyjścia pozostają IKEv2 i nowoczesne algorytmy uzgodnione z peerem. Omówienie i tworzenie profili IPsec na Sophos Firewall wyjaśnia pola oraz decyzje dotyczące bezpieczeństwa.

Sprawdzanie obsługiwanych platform

Sophos obsługuje tryb FIPS na:

• urządzeniach XGS Appliance
• VMware vSphere
• Microsoft Hyper-V
• KVM
• Xen
• AWS
• Azure

Tryb nie jest obsługiwany na:

• Software Appliances
• urządzeniach XG Series
• urządzeniach SG Series

To rozróżnienie jest ważne: appliance wirtualny jest obsługiwany, natomiast Software Appliance zainstalowany na własnym sprzęcie x86 nie. Sophos Firewall: sprzęt, maszyna wirtualna czy chmura? wyjaśnia modele operacyjne.

Należy przerwać pracę, jeśli model, platforma lub wersja docelowa nie są jednoznacznie obsługiwane. Dostępna opcja FIPS lub wykonywalne polecenie CLI nie zastępują zatwierdzenia platformy.

Inwentaryzacja skutków przed aktywacją

Peery VPN i algorytmy

Przed resetem fabrycznym należy udokumentować wszystkie produkcyjne VPN-y wraz z rzeczywiście negocjowanymi parametrami. W trybie FIPS dla nowych konfiguracji VPN dostępne są między innymi następujące algorytmy:

• grupy DH od 14 do 21
• AES-CBC i AES-GCM o długości 128, 192 lub 256 bitów
• klucze RSA od 2048 bitów, przy czym Sophos klasyfikuje tylko 2048 i 3072 jako zgodne z FIPS
• krzywe EC nad ciałem pierwszym od 224 bitów
• SHA1, SHA256, SHA384 i SHA512 do uwierzytelniania VPN
• Preshared Keys o długości co najmniej 14 bajtów
• TLS 1.2 i 1.3

Dla IPsec niedostępne są DH 1, 2, 5 oraz od 25 do 30, DES/3DES, Blowfish, Twofish, Serpent i MD5. DH 31 można wybrać, ale według Sophos połączenie nie będzie wtedy zgodne z FIPS. W certyfikatach nie są dozwolone skróty MD5 ani SHA1.

Minimalna długość PSK wynosząca 14 bajtów nie oznacza wymogu 14 dowolnych znaków. Nowo wygenerowany, losowy PSK złożony ze znaków ASCII ułatwia jednoznaczną weryfikację długości, ponieważ w tym przypadku jeden znak odpowiada jednemu bajtowi. Sama minimalna długość nie mówi nic o sile przewidywalnego hasła. PSK należy uzgodnić z peerem przez chroniony kanał i nie umieszczać go w protokołach odbioru ani logach.

Peer techniczny musi obsługiwać co najmniej jedną pełną wspólną kombinację fazy 1 i fazy 2. Dotyczy to także starszych urządzeń, VPN-ów dostawców i bram chmurowych. Jeśli nie istnieje wspólny zestaw, nie należy improwizować w oknie serwisowym. Najpierw trzeba dostosować peer albo zatrzymać projekt FIPS.

Dla IPsec dostępu zdalnego w Remote access VPN > IPsec > Authentication type dozwolone są tylko certyfikaty zgodne z FIPS; External CA nie można wybrać jako certyfikatu zdalnego. Wymóg zgodnych certyfikatów dotyczy także dostępu zdalnego L2TP z uwierzytelnianiem certyfikatem oraz certyfikatu serwera SSL w Site-to-site VPN > SSL VPN > SSL VPN global settings. Kreator IPsec oferuje ustawienia zgodne z FIPS. Przed migracją należy sprawdzić rzeczywiste przypisanie certyfikatów każdego połączenia, a nie tylko długość klucza i skrót. IKEv1 należy używać tylko w systemach starszego typu i z algorytmami zatwierdzonymi dla FIPS; dla nowych instalacji należy używać IKEv2.

Sophos opisuje użycie biblioteki kryptograficznej certyfikowanej FIPS do tworzenia tuneli IPsec w fazie 1 oraz dla SSL VPN w fazach 1 i 2. Nie należy z tego wywodzić ogólnej certyfikacji całego wdrożenia VPN ani dowolnej docelowej wersji SFOS.

Nie należy zakładać istnienia domyślnej polityki L2TP

Pomoc dotycząca FIPS dla SFOS 22 i 23 zawiera dwa sprzeczne stwierdzenia: z jednej strony opisuje domyślną politykę L2TP z SHA1 zamiast MD5, a z drugiej stwierdza, że urządzenia FIPS nie mają domyślnej polityki L2TP. Nie można z tego wywnioskować ani jej istnienia, ani bezpiecznych ustawień domyślnych. Jeśli L2TP jest wymagany, przed migracją produkcyjną należy sprawdzić faktycznie istniejącą politykę i jej dozwolone wartości uwierzytelniania dla docelowego buildu, a w razie potrzeby wyjaśnić zachowanie z pomocą techniczną Sophos. Brakującej polityki nie należy zastępować polityką wykorzystującą MD5 ani inny niedozwolony algorytm. Usługę L2TP dopuszcza się do użytku dopiero po pomyślnym odbiorze; dopóki kwestia polityki nie zostanie wyjaśniona, ta migracja pozostaje wstrzymana.

SSL VPN i Amazon VPC

Dla SSL VPN niedostępne są BF-CBC, 3DES, MD5 i rozmiar klucza 1024. Chroniony hasłem profil site-to-site SSL VPN pochodzący z firewalla FIPS nie jest wymienny z wersjami SFOS starszymi niż 18.5 MR2 i odwrotnie.

Połączenie Amazon VPC w trybie FIPS musi korzystać z opcji Use VPC configuration file. Opcja Use AWS security credentials pozostaje widoczna, ale według Sophos połączenie zakończy się niepowodzeniem. Zaimportowaną konfigurację VPC trzeba także dostosować do algorytmów DH i szyfrowania zgodnych z FIPS.

Certyfikaty i CAs

W trybie FIPS firewall generuje certyfikaty za pomocą certyfikowanej biblioteki kryptograficznej i sprawdza, czy przesłane certyfikaty oraz CAs używają dozwolonych algorytmów. Wcześniej należy udokumentować:

• które certyfikaty używają klucza RSA lub EC
• które algorytmy skrótu występują w łańcuchu
• które usługi IPsec, SSL VPN, portal, WAF i SMTP odwołują się do certyfikatu
• czy klucze prywatne, łańcuchy CA i hasła są dostępne do odbudowy

Certyfikat z formalnie dozwolonym kluczem może nadal nie działać z powodu nazwy, okresu ważności lub niepełnego łańcucha zaufania. Importowanie i przypisywanie certyfikatów na Sophos Firewall opisuje procedurę.

Przygotowanie kopii zapasowej i odbudowy

Przed aktywacją należy zapisać zewnętrznie:

• aktualny zaszyfrowany backup
• hasło backupu i używaną wówczas Secure Storage Master Key
• Entities.xml jako czytelny punkt odniesienia konfiguracji
• dokumentację interfejsów, VLAN-ów, routingu, NAT i reguł firewalla
• profile VPN, peery, IDs, przypisania certyfikatów i osoby odpowiedzialne za PSK
• Device Access, FQDN administracyjny, DNS, NTP i dane licencyjne
• projekt HA, Cluster ID, Peer Admin Port i okablowanie
• testy odbiorcze i jednoznaczną decyzję o przerwaniu

Tworzenie lub przywracanie backupu Sophos Firewall wyjaśnia zależność między backupem, SSMK, zgodnością przywracania i odbiorem. Sophos Firewall Config Studio może dodatkowo utworzyć uporządkowany raport konfiguracji.

Aktywacja FIPS na samodzielnym firewallu

Warunki zatrzymania przed poleceniem

Nie należy kontynuować, dopóki którykolwiek z tych punktów pozostaje otwarty:

• brak potwierdzonego celu zgodności lub zgody na reset fabryczny
• platforma lub firmware nie mają potwierdzonej obsługi FIPS
• firewall nadal należy do klastra HA
• brak lokalnej konsoli lub równoważnej niezależnej ścieżki zarządzania
• brak backupu, hasła lub SSMK
• produkcyjny peer VPN nie obsługuje żadnej wspólnej kombinacji FIPS
• brak certyfikatów lub kluczy prywatnych do odbudowy
• odbudowa i testy odbiorcze nie mieszczą się w oknie serwisowym

FIPS nie można włączać ani wyłączać przy aktywnym HA. Nie należy spontanicznie rozłączać istniejącego klastra w ramach tej samej operacji. Jego usunięcie, reset fabryczny i odbudowa wymagają oddzielnego, zatwierdzonego planu migracji.

Wykonanie polecenia

Przed zatwierdzeniem należy odnotować bieżący tryb w Device Console za pomocą polecenia tylko do odczytu system certification fips show. Jeśli FIPS jest już aktywny, enable nie służy do kontroli: nie należy ponownie wykonywać destrukcyjnego kroku aktywacji, lecz sprawdzić istniejącą konfigurację. Na potrzeby dostępu początkowego należy wcześniej faktycznie sprawdzić dostępność konsoli właściwej dla danej platformy; w przypadku VM lub chmury chodzi o niezależną konsolę platformy, a nie o połączenie SSH przez ścieżkę zarządzania, która zostanie później zresetowana.

W Device Console należy wykonać następujące polecenie:

system certification fips enable

Firewall uruchomi się ponownie z ustawieniami fabrycznymi. Poprzedni adres IP zarządzania i konfiguracja produkcyjna nie będą już gwarantowanie dostępne. Dalszy dostęp odbywa się przygotowaną lokalną ścieżką początkową.

Nie należy wielokrotnie restartować urządzenia, ślepo importować starej konfiguracji ani używać nieudokumentowanych modyfikacji powłoki. Najpierw trzeba odtworzyć konfigurację początkową, ścieżkę zarządzania, czas, DNS i licencję.

Sprawdzanie stanu

Bieżący tryb można wyświetlić poleceniem:

system certification fips show

Zapisz wynik wraz z urządzeniem, kompilacją SFOS i czasem. Device Console wymienia także opcję wyłączenia FIPS, ale oficjalna pomoc FIPS nie opisuje kompleksowo jej skutków ani sekwencji odzyskiwania. Nie należy na tej podstawie tworzyć procedury poleceń. W sprawie wyłączenia FIPS lub niejasnego zachowania podczas odtwarzania skontaktuj się z pomocą techniczną Sophos, podając platformę, kompilację, stan HA i metadane kopii zapasowej.

Odbudowa konfiguracji zgodnej z FIPS

Odbudowa przebiega w kontrolowanej kolejności:

1. Skonfigurować adres IP zarządzania, dostęp administracyjny, DNS, NTP i aktualny czas.
2. Ponownie udokumentować build firmware’u i platformę.
3. Utworzyć strefy, interfejsy, VLAN-y i routing, a następnie przetestować je lokalnie.
4. Zaimportować certyfikaty i łańcuchy CA bez obchodzenia odrzuconych algorytmów.
5. Utworzyć profile IPsec i SSL VPN wyłącznie z dozwolonymi wartościami.
6. Etapami przenieść reguły firewalla, NAT, WAF i poczty.
7. Skonfigurować Device Access, MFA, rejestrowanie zdarzeń, powiadomienia i integrację Central.
8. Zweryfikować każdą usługę produkcyjną przed przejściem do następnej.

W trybie FIPS firewall generuje polityki domyślne z odpowiednimi ustawieniami; nie oznacza to jednak, że domyślną politykę L2TP, której dokumentacja zawiera sprzeczne informacje, można uznać za pewny punkt wyjścia. Wartość domyślna obsługująca FIPS nadal nie potwierdza kompatybilności zewnętrznego peera ani zaimportowanego obiektu.

Konfiguracja HA dopiero po FIPS

Dla nowego klastra HA najpierw włącza się FIPS na planowanym firewallu Primary i w pełni go rekonfiguruje. Dopiero potem tworzy się HA. Sophos automatycznie włącza FIPS na firewallu Auxiliary podczas konfiguracji HA.

Przy aktywnym HA FIPS nie można włączać ani wyłączać na żadnym z urządzeń. Jeśli HA zostanie później wyłączone, odpowiedni stan FIPS pozostanie bez zmian na obu urządzeniach.

Przed Initiate HA należy sprawdzić:

• Primary działa stabilnie w trybie FIPS.
• Auxiliary jest przygotowany jako obsługiwana platforma z tym samym buildem.
• Modele, porty, licencje i łącze HA spełniają zwykłe wymagania HA.
• Dostępny jest backup i pełny odbiór FIPS firewalla Primary.
• Okno serwisowe obejmuje konfigurację HA, synchronizację i test failover.

Konfiguracja Sophos Firewall High Availability zawiera pełną procedurę klastra. LINCE ma inną kolejność i nie można go mylić z FIPS: LINCE należy wyrównać na obu samodzielnych urządzeniach przed HA, natomiast Sophos przenosi FIPS z Primary na Auxiliary podczas konfiguracji HA. Granicę certyfikacji, przerwę SSH i bezpieczną procedurę opisuje artykuł Zrozumieć i włączyć tryb LINCE na Sophos Firewall.

Odbiór migracji

Kryptografia i konfiguracja

• Zmiana FIPS jest widoczna w Log Viewer oraz, jeśli model je obsługuje, w raportach lokalnych. XGS 87/87w i XGS 88/88w nie obsługują raportów lokalnych; na tych modelach tę kontrolę należy wykonać w Log Viewer.
• Niedozwolone algorytmy nie są już dostępne w nowych konfiguracjach VPN i certyfikatów.
• Certyfikaty, CAs, klucze prywatne, SANs i łańcuch zaufania są kompletne.
• Tunele IPsec i SSL VPN negocjują oczekiwane wartości.
• Zielony status tunelu jest potwierdzony rzeczywistym dwukierunkowym ruchem aplikacyjnym.

Sieć i usługi

• WebAdmin jest dostępny tylko przez zaplanowaną ścieżkę zarządzania.
• Routing, SD-WAN, DNS i NTP działają.
• Reguły firewalla i NAT pasują do oczekiwanej Rule ID.
• WAF, SMTP TLS, portale i dostęp zdalny przedstawiają właściwe certyfikaty.
• Monitoring, powiadomienia, backupy i integracja Central działają.
• W HA osobno sprawdzane są stan, synchronizacja, failover i powrót.

Jako dowody należy udokumentować build, czas, zdarzenie FIPS, sprawdzone zestawy parametrów VPN, odciski certyfikatów i wyniki rzeczywistych połączeń. Brak pola w jednym interfejsie lub pojedynczy udany ping nie stanowią wystarczającego dowodu całości.

Ocena kopii zapasowych i oprogramowania

Po udanej odbudowie należy utworzyć nowy backup w stanie FIPS i bezpiecznie przechować go z hasłem, SSMK, buildem i protokołem odbioru. Przy przywracaniu na kompatybilnej wersji obsługującej FIPS backup stosuje swój stan FIPS. Backup z wyłączonym FIPS przywraca odpowiednio stan z wyłączonym FIPS. W wersji bez obsługi FIPS tryb nie jest dostępny niezależnie od stanu zapisanego w backupie.

Backup nie jest zatem neutralną kopią samych reguł. Przed przywróceniem należy osobno potwierdzić stan FIPS zapisany w backupie i obsługę FIPS przez docelowy build oraz uzyskać akceptację wpływu na zgodność. Backupu bez FIPS, utworzonego przed aktywacją, nie należy używać jako drogi na skróty przy odbudowie konfiguracji FIPS: pomyślne przywrócenie nie zastępuje ani zgodności obiektów z FIPS, ani ponownego sprawdzenia trybu i wszystkich usług.

Sophos dokumentuje ograniczony przypadek rollbacku: jeśli FIPS zostanie włączony po migracji lub aktualizacji, firewall może wrócić do poprzedniej wersji, w której FIPS był wyłączony, pod warunkiem że jej konfiguracja jest nadal dostępna. Nie jest to ogólna gwarancja downgrade’u ani sposób odtworzenia obecnej konfiguracji FIPS na dowolnej starszej wersji. Najpierw trzeba sprawdzić docelowy build, zachowaną konfigurację, ścieżkę aktualizacji, backup, hasło i SSMK oraz uzyskać zgodę na drogę odzyskiwania. Nie należy z tego wywodzić doraźnego polecenia wyłączenia; wcześniejsze ograniczenia wsparcia i HA nadal obowiązują.

Aktywny firmware FIPS blokuje przesyłanie firmware’u, który nie obsługuje FIPS. Nie wolno omijać tego zabezpieczenia nieplanowaną zmianą trybu. Przed każdą aktualizacją nadal wymagane są Release Notes, ścieżka aktualizacji, backup i test zależności kryptograficznych.

FAQ