Secure Shell y FIPS-140

Oracle Solaris proporciona una opción de FIPS-140 para el servidor y el cliente. El modo FIPS, donde Secure Shell utiliza el modo FIPS-140 de OpenSSL, no es el predeterminado. Puede invocar el modo FIPS en la línea de comandos, como en ssh -o "UseFIPS140 yes" remote-host. Como alternativa, se puede definir una palabra clave en los archivos de configuración.

Brevemente, la implementación consta de los siguientes elementos:

• Los siguientes cifrados aprobados por FIPS están disponibles en el servidor y en el cliente: aes128-cbc, aes192-cbc y aes256-cbc.

  3des-cbc está disponible de manera predeterminada en el cliente, pero no está en la lista de cifrado del servidor debido a posibles riesgos de seguridad.

• Están disponibles los siguientes códigos de autenticación de mensajes (MAC) aprobados por FIPS:

  • hmac-sha1, hmac-sha1-96

  • hmac-sha2-256, hmac-sha2-256-96

  • hmac-sha2-512, hmac-sha2-512-96

• Se admiten cuatro configuraciones de servidor-cliente:

  • Ningún modo FIPS en cliente o servidor

  • Modo FIPS en el cliente y en el servidor

  • Modo FIPS en el servidor, pero no en el cliente

  • Ningún modo FIPS en el servidor, pero sí en el cliente

• El comando ssh-keygen tiene una opción para generar la clave privada del usuario en el formato PKCS nº 8 que requieren los clientes Secure Shell en modo FIPS. Para obtener más información, consulte la página del comando man ssh-keygen(1).

Para obtener más información sobre las operaciones de FIPS en Secure Shell, consulte las páginas del comando man sshd(1M), sshd_config(4), ssh(1) y ssh_config(4).

Cuando utiliza una tarjeta Sun Crypto Accelerator 6000 para operaciones Secure Shell, Secure Shell se ejecuta con compatibilidad de FIPS-140 en el nivel 3. El hardware de nivel 3 está certificado para evitar la alteración física, utilizar autenticación basada en identidad y aislar las interfaces que gestionan parámetros de seguridad críticos de otras interfaces de hardware.