close

keyboard_arrow_left

Table of Contents Expand all

list Table of Contents

このページで

Junos OS での共有シークレットの強化
トラステッドプラットフォームモジュールを使用した SRX シリーズデバイスのシークレットのバインド
MXシリーズデバイスでのトラステッドプラットフォームモジュールの使用
変更履歴

keyboard_arrow_right

この機械翻訳はお役に立ちましたでしょうか?

Go to English page

免責事項:

このページは、サードパーティー製機械翻訳ソフトウェアを使用して翻訳されます。質の高い翻訳を提供するために合理的な対応はされていますが、ジュニパーネットワークスがその正確性を保証することはできかねます。この翻訳に含まれる情報の正確性について疑問が生じた場合は、英語版を参照してください. ダウンロード可能なPDF (英語版のみ).

設定暗号化用のマスターパスワード

date_range 19-Jan-25

arrow_backward

arrow_forward

Junos OSおよびJunos OS Evolvedは、マスターパスワードを使用した設定シークレットの暗号化方式をサポートしています。マスターパスワードは、AES256-GCMを使用して、秘密鍵、システムマスターパスワード、その他の機密データなどの特定の秘密をAES256暗号化形式で保存することで保護する暗号化鍵を導き出します。詳細については、このトピックを参照してください。

注:

マスターパスワードは、デバイスのrootパスワードとは別のものです。

Junos OS での共有シークレットの強化

共有シークレットの強化について

現在、Junos OSの既存の共有シークレット($9$形式)は難読化アルゴリズムを使用していますが、これは設定シークレットの強力な暗号化ではありません。設定シークレットを強力に暗号化する場合は、マスターパスワードを設定できます。マスター・パスワードは、構成秘密鍵を暗号化するために AES256-GCM で使用される暗号鍵を導出するために使用されます。この新しい暗号化方法では、$8$ 形式の文字列を使用します。

Junos OSリリース15.1X49-D50およびJunos OS Evolvedリリース22.4R1以降、システムマスターパスワードを設定する新しいCLIコマンドが導入され、設定シークレットの暗号化を強化します。マスターパスワードは、RADIUSパスワード、IKE事前共有キー、およびJunos OS管理プロセス(mgd)設定内の他の共有シークレットなどのシークレットを暗号化します。マスターパスワード自体は、設定の一部として保存されません。パスワードの品質は強度について評価され、脆弱なパスワードが使用された場合はデバイスがフィードバックを提供します。

マスターパスワードは、暗号化鍵を生成するためのパスワードベースの鍵導出機能 (PBKDF2) への入力として使用されます。キーは、ガロア/カウンターモード(AES256-GCM)の高度暗号化標準への入力として使用されます。ユーザーが入力したプレーンテキストは、暗号化アルゴリズム(キーを使用)によって処理され、暗号化されたテキスト(暗号テキスト)が生成されます。見る図 1

注:

Trusted Platform Module(TPM)を介してマスターパスワードの暗号化を有効にすると、コミット時間が長くなる可能性があります。これは、設定がコミットされるたびに暗号化処理が行われるためです。遅延の増加は、CPU の能力と現在の負荷によって異なります。

図 1: マスターパスワードの暗号化

$8$の設定シークレットは、同じマスターパスワードを使用するデバイス間でのみ共有できます。

$8$で暗号化されたパスワードの形式は次のとおりです。

$8$crypt-algo$hash-algo$iterations$salt$iv$tag$encrypted. マスターパスワードの形式の詳細については、表 1 を参照してください。

表 1: $8$-暗号化されたパスワードフォーマット
フォーマット	説明
クリプトアルゴ	使用する暗号化/復号化アルゴリズム。現在、AES256-GCM のみがサポートされています。
ハッシュアルゴ	PBKDF2 鍵導出に使用されるハッシュ(prf)アルゴリズム。
イテレーション	PBKDF2 ハッシュ関数に使用する反復回数。現在の反復回数の既定値は 100 です。反復回数はハッシュ回数を遅くし、攻撃者の推測を遅くします。
塩	暗号化中に生成された ASCII64 エンコードされた擬似ランダムバイトのシーケンスで、パスワードと PBKDF2 鍵導出への入力をソルト (ランダムではあるが既知の文字列) するために使用されます。
四	AES256-GCM 暗号化機能の初期化ベクトルとして使用される、暗号化中に生成される一連の ASCII64 エンコードされた擬似ランダム・バイト。
タグ	タグのASCII64エンコード表現。
暗号化	暗号化されたパスワードのASCII64エンコード表現。

ASCII64 エンコーディングは Base64 (RFC 4648) と互換性がありますが、文字列を短くするためにパディング (文字 "=") が使用されていない点が異なります。たとえば、以下のように表示されます。 $8$aes256-gcm$hmac-sha2-256$100$y/4YMC4YDLU$fzYDI4jjN6YCyQsYLsaf8A$Ilu4jLcZarD9YnyD /Hejww$okhBlc0cGakSqYxKww

シャーシクラスタに関する考慮事項

SRXシリーズファイアウォールでシャーシクラスタを定義する場合は、次の制限に注意してください。

SRXシリーズファイアウォールの場合は、まず各ノードでマスターパスワードを設定してから、クラスターを構築します。各ノードで同じマスターパスワードを設定する必要があります。
シャーシクラスタモードでは、MEK(マスター暗号化キー)が設定されている場合、マスターパスワードは削除できませんが、マスターパスワードをリセットすることはできます。マスターパスワードは、ルーティングエンジンをゼロにすることによってのみ削除できます。

注:

マスターパスワードを変更すると、シャーシクラスタリングが中断されます。したがって、両方のノードで個別にパスワードを変更する必要があります。

トラステッドプラットフォームモジュールを使用した SRX シリーズデバイスのシークレットのバインド

SRXシリーズファイアウォールでTPM(トラステッドプラットフォームモジュールを有効にすることで、ソフトウェアレイヤーは基盤となるTPMチップの使用を活用します。TPM は、秘密キー、システムプライマリパスワード、その他の機密データなどの保存中の特定の秘密を、(機密データをクリアテキスト形式で保存するのではなく) AES256 暗号化形式で保存することで保護する特殊なチップです。また、管理者が設定をコミットするたびに、デバイスは設定の新しい SHA256 ハッシュを生成します。このハッシュは、システムが起動するたびに検証されます。設定が改ざんされている場合、検証は失敗し、デバイスは起動を継続しません。暗号化されたデータと構成のハッシュの両方が、マスター暗号化パスワードを使用して TPM モジュールによって保護されます。

注:

ハッシュ検証は、コミット操作中に、以前のコミットで保存されたハッシュに対して構成ファイルの検証チェックを実行することによって実行されます。シャーシクラスタシステムでは、ハッシュはコミットプロセスの一環としてバックアップシステムで個別に生成されます。任意のモード、つまり、 batch-config、 dynamic-config、 exclusive-config、または private config からのコミットは、整合性ハッシュを生成します。

注:

ハッシュは現在の設定にのみ保存され、ロールバックの設定には保存されません。ハッシュは、デバイスの再起動またはシャットダウン中に生成されません。

TPM は、次のシークレットを暗号化します。

設定の SHA256 ハッシュ
デバイスのプライマリパスワード
デバイス上のすべてのキーペア

TPM チップは、SRX300、SRX320、SRX340、SRX345、SRX380 SRX5400、SRX5600、SRX5800 の各デバイスで使用できます。SRX5400、SRX5600、および SRX5800 デバイスでは、TPM は SRX5K-RE3-128G ルーティングエンジン (RE3) でのみサポートされています。

TPM チップは、TPM 機能を利用するために既定で有効になっています。PKI キーペアと設定ハッシュを暗号化するには、マスター暗号化パスワードを設定する必要があります。マスター暗号化パスワードを設定するには、マスター暗号化パスワードの設定を参照してください。

限界
マスター暗号化パスワードの設定
TPM の状態の確認
マスター暗号化パスワードの変更

限界

TPM を使用した構成ファイルの整合性機能には、次の制限と例外が適用されます。

この機能は、SRX300、SRX320、SRX340、SRX345、SRX380、 SRX5400、SRX5600、SRX5800 デバイスでのみサポートされています。SRX5400、SRX5600、および SRX5800 デバイスでは、TPM は RE3 でのみサポートされます。
マスター暗号化パスワードが設定されていない場合、データは暗号化されずに保存されます。
ファイル整合性機能は、EEPROM に保存された鍵を使用するコンフィギュレーションファイルの暗号化機能と共にサポートされていません。一度に有効にできる機能は 1 つだけです。
シャーシクラスタでは、両方のノードの TPM 設定が同じである必要があります。つまり、シャーシクラスタの両方のノードで TPM が有効になっているか、シャーシクラスタの両方のノードで TPM が無効になっている必要があります。シャーシクラスタでは、1 つのノードを TPM に設定し、別のノードを TPM を無効にすることはできません。

注:

MEK(マスター暗号化キー)を設定および運用可能にした後は、TPM機能をサポートしていないJunosバージョンにダウングレードすることはお勧めしません。これは、TPM 非対応イメージは、デバイスが TPM 以外のケーブルバージョンに再起動した後、TPM によって暗号化されたシークレットを復号化できないためです。

TPM 非対応イメージにダウングレードする必要がある場合は、最初にデバイスをゼロにする必要があります。ゼロ化プロセスにより、デバイスにシークレットが含まれないことが保証され、すべてのキーが削除されます。ゼロ化後、デバイスは目的の非TPM対応イメージにダウングレードされます。

マスター暗号化パスワードの設定

注:

マスター暗号化パスワードを構成する前に、構成されていない set system master-password plain-text-password 、特定の機密データが TPM によって保護されないことを確認してください。

次の CLI コマンドを使用して、マスター暗号化パスワードを設定します。

request security tpm master-encryption-password set plain-text-password

これらのパスワードが一致することを確認するために、マスター暗号化パスワードを2回入力するように求められます。マスター暗号化パスワードは、必要なパスワード強度について検証されます。

マスター暗号化パスワードが設定されると、システムは、TPM チップによって所有および保護されているマスターバインディングキーによって暗号化されたマスター暗号化パスワードを使用して機密データの暗号化に進みます。

注:

マスター暗号化パスワードの設定に問題がある場合は、重大なエラーメッセージがコンソールに記録され、プロセスが終了します。

TPM の状態の確認

show security tpm status コマンドを使用して、TPM の状態を確認できます。次の情報が表示されます。

TPM 有効/無効
TPMの所有権
TPM のマスターバインドキーの状態 (作成済みまたは未作成)
マスター暗号化パスワードのステータス(設定または未設定)

Junos OSリリース15.1X49-D120およびJunos OSリリース17.4R1以降、トラステッドプラットフォームモジュール(TPM)ファームウェアがアップデートされました。アップグレードされたファームウェアバージョンは、追加の安全な暗号化を提供し、セキュリティを向上させます。更新された TPM ファームウェアは、Junos OS パッケージと共に入手できます。TPM ファームウェアの更新については、「 SRX デバイスでの TPM ファームウェアのアップグレード」を参照してください。TPM ファームウェアのバージョンを確認するには、 show security tpm status コマンドを使用します。 TPM Family および TPM Firmware version 出力フィールドが導入されました。

マスター暗号化パスワードの変更

マスター暗号化パスワードの変更は、CLI を使用して行います。

マスター暗号化パスワードを変更するには、動作モードから次のコマンドを入力します。

request security tpm master-encryption-password set plain-text-password

注:

マスター暗号化パスワードの変更中は、設定を変更しないことをお勧めします。

マスター暗号化パスワードがすでに設定されているかどうかがチェックされます。マスター暗号化パスワードが設定されている場合は、現在のマスター暗号化パスワードを入力するよう求められます。

入力したマスター暗号化パスワードは、現在のマスター暗号化パスワードと照合され、これらのマスター暗号化パスワードが一致することを確認します。検証が成功すると、新しいマスター暗号化パスワードをプレーンテキストとして入力するように求められます。パスワードを検証するために、キーを2回入力するように求められます。

その後、システムは新しいマスター暗号化パスワードを使用して機密データを再暗号化します。マスター暗号化パスワードの変更を再試行する前に、この再暗号化プロセスが完了するのを待つ必要があります。

何らかの理由で暗号化されたマスター暗号化パスワードファイルが紛失または破損している場合、システムは機密データを復号化できません。システムは、機密データをクリアテキストで再インポートし、再暗号化することによってのみ回復できます。

システムが侵害された場合、管理者は次の方法を使用してシステムを回復できます。

uブートでTPM所有権をクリアしてから、TFTPまたはUSBを使用してブートローダーにイメージをインストールします(USBポートが制限されていない場合)。

注:

インストールされているソフトウェアバージョンが Junos OS リリース 15.1X49-D110 より古く、マスター暗号化パスワードが有効になっている場合、Junos OS リリース 15.1X49-D110 のインストールは失敗します。設定、証明書、キーペア、およびその他のシークレットをバックアップし、TFTP/USB インストール手順を使用する必要があります。

MXシリーズデバイスでのトラステッドプラットフォームモジュールの使用

Trusted Platform Module(TPM)1.2は、MX240、MX480、MX960、MX2010、MX2020、およびMX10003デバイスでサポートされています。マスターパスワードは、デバイスに保存されている設定ファイルを暗号化するために使用されます。

マスター暗号化パスワードを変更するには、動作モードから次のコマンドを入力します。

request security tpm master-encryption-password set plain-text-password

TPMは、暗号化によってシステムのマスターパスワードなどの機密データを保護するために使用されます。TPM では、キーを使用したデータの暗号化と暗号化解除がサポートされています。暗号化された設定シークレットを復号化するには、マスターパスワードを削除する必要があります。

protectオプションを使用して、マスターパスワードを削除または変更しないようにすることができます。マスターパスワードが保護されたら、マスターパスワードを削除または変更するオプションを適用 unprotect 必要があります。次の手順で実行します。

システムマスターパスワードを設定します。

content_copy zoom_out_map
user@host# set system master-password plain-text-password
Master password:
Repeat master password:
user@host# commit

システムマスターパスワードが削除されないように設定します。

content_copy zoom_out_map
user@host# protect system master-password
user@host# commit
user@host# show system
host-name device1;
kernel-replication {
    traceoptions {
        file kernel_traces.log;
        flag all;
    }
}
ports {
    console log-out-on-disconnect;
}
syslog {
    file messages {
        daemon any;
    }
}
protect: master-password {
    password-configured;
}

システムマスターパスワードは保護されています。マスターパスワードの保護を解除することで、マスターパスワードを削除できます。

正しいマスターパスワードを入力して、マスターパスワードの保護を解除するように設定します。

content_copy zoom_out_map
user@host # unprotect system master-password
Enter current master-password:
user@host # commit
host-name device1;
kernel-replication {
    traceoptions {
        file kernel_traces.log;
        flag all;
    }
}
ports {
    console log-out-on-disconnect;
}
syslog {
    file messages {
        daemon any;
    }
}
master-password {
    password-configured;
}

マスターパスワードの保護が解除されると、システム上のマスターパスワードを削除または変更できます。

content_copy zoom_out_map
user@host # delete system master-password
user@host # commit
user@host # show system
host-name device1;
kernel-replication {
    traceoptions {
        file kernel_traces.log;
        flag all;
    }
}
ports {
    console log-out-on-disconnect;
}
syslog {
    file messages {
        daemon any;
    }
}

限界

マスター暗号化キー (MEK) が削除されると、データを復号化できません。MEK を削除するには、デバイスをゼロにする必要があります。
ルーティングエンジンをダウングレードするには、ルーティングエンジンをゼロにする必要があります。デバイスがゼロになると、この機能をサポートしていないイメージに安全にダウングレードできます。
デュアルルーティングエンジン構成では、MEKの不一致によりバックアップルーティングエンジンを復旧する必要がある場合、GRESを無効にし、バックアップルーティングエンジンをゼロにする必要があります。バックアップのルーチンエンジンが起動したら、マスターREで request security tpm master-encryption-password set plain-text-password コマンドを使用してMEKを設定します。
デュアルルーティングエンジン構成では、バックアップルーティングエンジンを交換する必要がある場合、デュアルルーティングエンジン設定を追加する前に、まず新しいバックアップルーティングエンジンをゼロ化し、GRES を無効にし、 request security tpm master-encryption-password set plain-text-password コマンドを使用してマスターREでMEKを再設定する必要があります。
デバイスでOSPF、IS-IS、MACsec、BGP、およびVRRPを設定し、マスターパスワードをリセットすると、ルーティング/DOT1xサブシステムがアクティブになるまでの時間(秒)の遅延が発生します。
デバイスでマスターパスワード、MEK、OSPF、IS-IS、MACsec、BGP、およびVRRPを設定してデバイスを再起動すると、ルーティング/DOT1xサブシステムがアクティブになるまでの時間(秒単位)の遅延が発生します。

変更履歴

サポートされる機能は、使用しているプラットフォームとリリースによって決まります。特定の機能がお使いのプラットフォームでサポートされているかどうかを確認するには、 Feature Explorer をご利用ください。

リリース

説明

17.4R1

15.1X49-D50

Junos OSリリース15.1X49-D50以降、システムマスターパスワードを設定する新しいCLIコマンドが導入され、設定シークレットの暗号化を強化します。

arrow_backward PREVIOUS プレーンテキストパスワード

NEXT arrow_forward トラステッドプラットフォームモジュールによる暗号化

Junos OS 向けユーザーアクセスおよび認証管理ガイド

このページで

この機械翻訳はお役に立ちましたでしょうか?

免責事項:

設定暗号化用のマスターパスワード

Junos OS での共有シークレットの強化

共有シークレットの強化について

シャーシクラスタに関する考慮事項

トラステッドプラットフォームモジュールを使用した SRX シリーズデバイスのシークレットのバインド

限界

マスター暗号化パスワードの設定

TPM の状態の確認

マスター暗号化パスワードの変更

MXシリーズデバイスでのトラステッドプラットフォームモジュールの使用

限界

変更履歴

Stay in touch

Helped me install or use the product
Accelerated my deployment

Discuss the product with a co-worker
Make a purchase inquiry

Junos OS 向けユーザー アクセスおよび認証管理ガイド

このページで

この機械翻訳はお役に立ちましたでしょうか?

免責事項:

設定暗号化用のマスターパスワード

Junos OS での共有シークレットの強化

共有シークレットの強化について

シャーシ クラスタに関する考慮事項

トラステッド プラットフォーム モジュールを使用した SRX シリーズ デバイスのシークレットのバインド

限界

マスター暗号化パスワードの設定

TPM の状態の確認

マスター暗号化パスワードの変更

MXシリーズデバイスでのトラステッドプラットフォームモジュール の使用

限界

関連項目

変更履歴

Stay in touch

Junos OS 向けユーザーアクセスおよび認証管理ガイド

シャーシクラスタに関する考慮事項

トラステッドプラットフォームモジュールを使用した SRX シリーズデバイスのシークレットのバインド

MXシリーズデバイスでのトラステッドプラットフォームモジュールの使用