Az SSL-titkosítások konfigurálása

System Center – Az Operations Manager megfelelően kezeli a UNIX és Linux rendszerű számítógépeket az alapértelmezett Secure Sockets Layer (SSL) titkosítási konfiguráció módosítása nélkül. A legtöbb szervezet számára elfogadható az alapértelmezett konfiguráció, de azt javasoljuk, hogy a szervezet biztonsági házirendjében tekintse meg, hogy van-e szükség változtatásokra.

Az SSL-rejtjelkonfiguráció használata

Az Operations Manager UNIX- és Linux-ügynöke úgy kommunikál az Operations Manager felügyeleti kiszolgálóval, hogy fogadja az 1270-es porton lévő kéréseket, és a kérésekre adott válaszként adja meg az információkat. A kérések a WS-felügyeleti protokoll használatával jönnek létre, amely SSL-kapcsolaton fut.

Amikor az egyes kérésekhez első alkalommal létesül SSL-kapcsolat, a szabványos SSL protokoll egyezteti a használandó kapcsolat titkosítási algoritmusát, más nével rejtjelét. Az Operations Manager rendszerhez a felügyeleti kiszolgáló az egyeztetés során mindig erős rejtjelet igényel, hogy a felügyeleti kiszolgáló és a UNIX vagy Linux rendszerű számítógép közötti kapcsolat erős titkosítást használjon.

A UNIX vagy Linux rendszerű számítógépen az alapértelmezett SSL-rejtjelkonfigurációt az az SSL-csomag határozza meg, amelyet az operációs rendszer részeként telepített. Az SSL titkosítási konfigurációja általában lehetővé teszi a különböző titkosításokkal rendelkező kapcsolatokat, beleértve az alacsonyabb erősségű régebbi titkosításokat is. Bár az Operations Manager nem használja ezeket az alacsonyabb szilárdságú titkosításokat, ha az 1270-es port nyitva van, és alacsonyabb erősségű titkosítást használ, ellentmond egyes szervezetek biztonsági szabályzatának.

Ha az alapértelmezett SSL-rejtjelkonfiguráció megfelel a szervezet biztonsági házirendjének, akkor semmit nem kell tennie.

Ha az alapértelmezett SSL-rejtjelkonfiguráció nem felel meg a szervezet biztonsági házirendjének, akkor az Operations Manager UNIX- és Linux-ügynöke olyan konfigurációs beállítást biztosít, amellyel megadhatók azok a rejtjelek, amelyeket az SSL elfogadhat az 1270-es porton keresztül. Ez a beállítás a rejtjelek vezérlésére, illetve az SSL-konfigurációnak a házirendekkel történő egyeztetéséhez használható. Miután az Operations Manager UNIX- és Linux-ügynököt telepítette minden felügyelt számítógépre, a konfigurációs beállítást a következő szakaszban ismertetett eljárásokkal kell beállítani. Az Operations Manager nem biztosít automatikus vagy beépített módot a konfigurációk alkalmazásához; minden szervezetnek végre kell hajtania a konfigurációt egy külső mechanizmussal, amely a legjobban működik.

Az sslCipherSuite konfigurációs beállításának beállítása

Az 1270-es port SSL-rejtjeleit az OMI konfigurációs fájl omiserver.confsslciphersuite beállításával adhatja meg. Az omiserver.conf fájl a következő helyen található: /etc/opt/omi/conf/.

A fájlban az sslciphersuite beállítás formátuma a következő:

sslciphersuite=<cipher spec>  

Ahol <a titkosítási specifikáció> megadja az engedélyezett, letiltott és az engedélyezett titkosítások kiválasztásának sorrendjét.

A titkosítási <specifikáció> formátuma megegyezik az Apache HTTP Server 2.0-s verziójában található sslCipherSuite beállítás formátumával. További tudnivalók: SSLCipherSuite Directive, Apache-dokumentáció. A webhelyen található összes információt a webhely tulajdonosa vagy felhasználói adják meg. A Microsoft nem vállal semmilyen kifejezett vagy vélelmezett felelősséget a webhelyen található információkért.

Az sslCipherSuite konfigurációs beállítás megadása után indítsa újra a UNIX- és a Linux-ügynököt, hogy a módosítás életbe lépjen. A UNIX- és a Linux-ügynök újraindításához futtassa a /etc/opt/microsoft/scx/bin/tools könyvtárban található következő parancsot.

. setup.sh  
scxadmin -restart  

A TLS protokollverziók engedélyezése vagy letiltása

A System Center – Operations Manager esetében az omiserver.conf a következő helyen található: /etc/opt/omi/conf/omiserver.conf

A TLS protokollverziók engedélyezéséhez/letiltásához az alábbi jelzőket kell beállítani. További információ: OMI-kiszolgáló konfigurálása.

Tulajdonság	Cél
NoTLSv1_0	Ha igaz, a TLSv1.0 protokoll le van tiltva.
NoTLSv1_1	Ha igaz, és a platformon elérhető, a TLSv1.1 protokoll le van tiltva.
NoTLSv1_2	Ha igaz, és a platformon elérhető, a TLSv1.2 protokoll le van tiltva.

Az SSLv3 protokoll engedélyezése vagy letiltása

Az Operations Manager HTTPS protokollal, TLS- vagy SSL-titkosítással kommunikál a UNIX- vagy Linux-ügynökkel. Az SSL-kézfogási folyamat azt a legerősebb titkosítási módszert használja, amely az ügynökön és a felügyeleti kiszolgálón is elérhető. Előfordulhat, hogy meg szeretné tiltani az SSLv3-at, hogy egy ügynök, aki nem tud megegyezni a TLS-titkosításról, ne térjen vissza az SSLv3-ra.

A System Center – Operations Manager esetében az omiserver.conf a következő helyen található: /etc/opt/omi/conf/omiserver.conf

Az SSLv3 letiltása

Módosítsa az omiserver.conf fájlt, és állítsa a NoSSLv3 sort a következőre: NoSSLv3=true

Az SSLv3 engedélyezése

Módosítsa az omiserver.conf fájlt, és állítsa a NoSSLv3 sort a következőre: NoSSLv3=false

Titkosítócsomag támogatási mátrixa

Disztribúció	Kernel	OpenSSL-verzió	Legmagasabb támogatott titkosítási csomag/előnyben részesített titkosítási csomag	Titkosítási index
Red Hat Enterprise Linux Server 7.5 (Maipo)	Linux 3.10.0-862.el7.x86_64	OpenSSL 1.0.2k-fips (2017. január 26.)	TLS_RSA_WITH_AES_256_GCM_SHA384	{ 0x00, 0x9D }
Red Hat Enterprise Linux 8.3 (Ootpa)	Linux 4.18.0-240.el8.x86_64	OpenSSL 1.1.1g FIPS (2020. április 21.)	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384	{ 0xC0, 0x30 }
Oracle Linux Server, 6.10-es kiadás	Linux4.1.12-124.16.4.el6uek.x86_64	OpenSSL 1.0.1e-fips (2013. február 11.)	TLS_RSA_WITH_AES_256_GCM_SHA384	{ 0x00, 0x9D }
Oracle Linux Server 7.9	Linux 5.4.17-2011.6.2.el7uek.x86_64	OpenSSL 1.0.2k-fips (2017. január 26.)	TLS_RSA_WITH_AES_256_GCM_SHA384	{ 0x00, 0x9D }
Oracle Linux Server 8.3	Linux 5.4.17-2011.7.4.el8uek.x86_64	OpenSSL 1.1.1g FIPS (2020. április 21.)	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384	{ 0xC0, 0x30 }
CentOS Linux 8 (Core)	Linux 4.18.0-193.el8.x86_64	OpenSSL 1.1.1c FIPS (2019. május 28.)	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384	{ 0xC0, 0x30 }
Ubuntu 16.04.5 LTS	Linux 4.4.0-131-generic	OpenSSL 1.0.2g (2016. márc. 1.)	TLS_RSA_WITH_AES_256_GCM_SHA384	{ 0x00, 0x9D }
Ubuntu 18.10	Linux 4.18.0-25-generic	OpenSSL 1.1.1 (2018. szeptember 11.)	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384	{ 0xC0, 0x30 }
Ubuntu 20.04 LTS	Linux 5.4.0-52-generic	OpenSSL 1.1.1f (2020. március 31.)	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384	{ 0xC0, 0x30 }
SUSE Linux Enterprise Server 12 SP5	Linux 4.12.14-120-default	OpenSSL 1.0.2p-fips (2018. augusztus 14.)	TLS_RSA_WITH_AES_256_GCM_SHA384	{ 0x00, 0x9D }
Debian GNU/Linux 10 (buster)	Linux 4.19.0-13-amd64	OpenSSL 1.1.1d (2019. szeptember 10.)	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384	{ 0xC0, 0x30 }

Titkosítások, MAC-algoritmusok és kulcscsere-algoritmusok

A System Center Operations Manager 2016-os és újabb verzióiban az alábbi titkosításokat, MAC-algoritmusokat és kulcscsere-algoritmusokat a System Center Operations Manager SSH-modul mutatja be.

Az SCOM SSH-modul által biztosított titkosítások:

• aes256-ctr
• aes256-cbc
• aes192-ctr
• aes192-cbc
• aes128-ctr
• aes128-cbc
• 3des-ctr
• 3des-cbc

Az SCOM SSH-modul által biztosított MAC-algoritmusok:

• hmac-sha10
• hmac-sha1-96
• hmac-sha2-256

Az SCOM SSH-modul által biztosított kulcscsere-algoritmusok:

• diffie-hellman-group-exchange-sha256
• diffie-hellman-group-exchange-sha1
• diffie-hellman-group14-sha1
• diffie-hellman-group14-sha256
• diffie-hellman-group1-sha1
• ecdh-sha2-nistp256
• ecdh-sha2-nistp384
• ecdh-sha2-nistp521

Letiltott SSL-újratárgyalások Linux-ügynökben

A Linux-ügynök esetében az SSL-újratárgyalások le vannak tiltva.

Az SSL-újratárgyalások biztonsági rést okozhatnak SCOM-Linux ügynökben, ami megkönnyíti a távoli támadók számára a szolgáltatásmegtagadást azáltal, hogy számos újratárgyalást hajtanak végre egyetlen kapcsolaton belül.

A Linux-ügynök opensource OpenSSL-t használ SSL-célokra.

A következő verziók csak újratárgyalás esetén támogatottak:

• OpenSSL <= 1.0.2
• OpenSSL >= 1.1.0h

Az OpenSSL 1.10-1.1.0g-s verziói esetében nem tilthatja le az újratárgyalást, mert az OpenSSL nem támogatja az újratárgyalást.

Következő lépések

• A UNIX és Linux rendszerű számítógépek hitelesítésének és monitorozásának megismeréséhez tekintse át a UNIX- és Linux-számítógépek eléréséhez szükséges hitelesítő adatokat ismertető cikket.

• Az Operations Manager UNIX és Linux rendszerű számítógépekkel való hitelesítésének konfigurálásához lásd: Hitelesítő adatok beállítása a UNIX és Linux rendszerű számítógépek eléréséhez.

• A UNIX- és Linux-számítógépek hatékony monitorozásához szükséges jogosultság nélküli fiókok megemelésének megismeréséhez tekintse meg a sudo jogosultságszint-emelési és SSH-kulcsok konfigurálását ismertető cikket.