Secure Shell et FIPS-140

Oracle Solaris fournit une option FIPS-140 pour les côtés serveur et client. Le mode FIPS, où Secure Shell utilise le mode FIPS-140 d'OpenSSL, n'est pas le mode par défaut. Vous pouvez appeler le mode FIPS sur la ligne de commande, comme dans l'exemple suivant : ssh -o "UseFIPS140 yes" remote-host. Vous pouvez également définir un mot-clé dans les fichiers de configuration.

En résumé, la mise en oeuvre se compose des éléments suivants :

• Les chiffrements certifiés FIPS suivants sont disponibles sur les côtés serveur et client : aes128-cbc, aes192-cbc et aes256-cbc.

  3des-cbc est disponible par défaut sur le côté client, mais il ne figure pas dans la liste de chiffrements côté serveur en raison des risques de sécurité potentiels.

• Les codes d'authentification des messages (MAC, Message Authentication Codes) certifiés FIPS suivants sont disponibles :

  • hmac-sha1, hmac-sha1-96

  • hmac-sha2-256, hmac-sha2-256-96

  • hmac-sha2-512, hmac-sha2-512-96

• Quatre configurations serveur-client sont disponibles :

  • Mode FIPS absent sur le côté client ou serveur

  • Mode FIPS disponible sur les côtés client et serveur

  • Mode FIPS disponible sur le côté serveur, pas sur le côté client

  • Mode FIPS absent sur le côté serveur, mais disponible sur le côté client

• La commande ssh-keygen comporte une option permettant de générer la clé privée de l'utilisateur au format PKCS #8 requis par les clients Secure Shell en mode FIPS. Pour plus d'informations, reportez-vous à la page de manuel ssh-keygen(1).

Pour plus d'informations sur les opérations FIPS dans Secure Shell, reportez-vous aux pages de manuel sshd(1M), sshd_config(4), ssh(1) et ssh_config(4).

Lorsque vous utilisez une carte Sun Crypto Accelerator 6000 pour les opérations Secure Shell, Secure Shell s'exécute avec la prise en charge FIPS-140 au niveau 3. Le matériel de niveau 3 est certifié pour résister au sabotage physique, utiliser l'authentification basée sur l'identité et isoler les interfaces qui gèrent les paramètres de sécurité critique à partir des autres interfaces du matériel.