Udostępnij za pośrednictwem

Instrukcje dotyczące korzystania z programu SQL Server 2008 w trybie zgodnym ze standardem FIPS 140-2

W tym artykule opisano standard FIPS 140-2 i sposób używania programu SQL Server 2008 w trybie zgodnym ze standardem FIPS 140-2.

Oryginalna wersja produktu: SQL Server
Oryginalny numer KB: 955720

Wprowadzenie

W tym artykule omówiono instrukcje federal information processing Standard (FIPS) 140-2 i sposób korzystania z programu Microsoft SQL Server 2008 w trybie zgodnym ze standardem FIPS 140-2.

Uwaga 16.

Terminy "Zgodność ze standardem FIPS 140-2", "zgodność ze standardem FIPS 140-2" i "Tryb zgodny ze standardem FIPS 140-2" są zdefiniowane w tym miejscu w celu użycia i jasności. Te terminy nie są rozpoznawane ani zdefiniowane terminy dla instytucji rządowych. Rządy Stany Zjednoczone i kanadyjskie uznają weryfikację modułów kryptograficznych względem standardów, takich jak FIPS 140-2, a nie korzystanie z nich w określony lub zgodny sposób. W tym artykule zdefiniujemy "zgodność ze standardem FIPS 140-2", "zgodność ze standardem FIPS 140-2" i "tryb zgodności ze standardem FIPS 140-2", aby oznaczać, że program SQL Server 2008 używa tylko zweryfikowanych wystąpień algorytmów i funkcji skrótu we wszystkich wystąpieniach, w których zaszyfrowane lub zaszyfrowane lub zaszyfrowane dane są eksportowane do programu SQL Server 2008. Ponadto te terminy oznaczają, że program SQL Server 2008 będzie zarządzać kluczami w bezpieczny sposób zgodnie z wymaganiami modułów kryptograficznych zweryfikowanych ze standardem FIPS 140-2. Proces zarządzania kluczami obejmuje również funkcje generowania kluczy i magazynu kluczy.

Co to jest FIPS

FiPS oznacza federalne standardy przetwarzania informacji. FIPS to standardy opracowane przez dwa organy rządowe. Jednym z nich jest Narodowy Instytut Standardów i Technologii w Stany Zjednoczone. Drugim jest zakład bezpieczeństwa komunikacji w Kanadzie. FIPS to standardy, które są zalecane lub wymagane do użycia w federalnych (Stany Zjednoczone lub kanadyjskich) systemów it obsługiwanych przez rząd.

Co to jest FIPS 140-2

FIPS 140-2 to instrukcja "Wymagania dotyczące zabezpieczeń dla modułów kryptograficznych". Określa, które algorytmy szyfrowania i które algorytmy wyznaczania wartości skrótu mogą być używane, oraz sposób generowania i zarządzania kluczami szyfrowania. Niektóre sprzęty, oprogramowania i procesów mogą być weryfikowane przez zatwierdzone laboratorium weryfikacyjne FIPS 140-2. Niektóre z nich można również opisać jako zgodne ze standardem FIPS 140-2, ponieważ termin jest zdefiniowany w tym artykule.

Jaka jest różnica między aplikacją "zgodną ze standardem FIPS 140-2" i aplikacją "zweryfikowaną przez standard FIPS 140-2"

Program SQL Server 2008 można skonfigurować do uruchamiania jako aplikacja zgodna ze standardem FIPS 140-2. W tym celu należy uruchomić program SQL Server 2008 w systemie operacyjnym, który używa zweryfikowanego dostawcy usług kryptograficznych FIPS 140-2 lub który udostępnia zweryfikowany moduł kryptograficzny. Różnica między zgodnością a walidacją nie jest subtelna. Algorytmy można zweryfikować. Należy pamiętać, że użycie algorytmów z zatwierdzonych list w standardzie FIPS 140-2 jest niewystarczające. Należy użyć wystąpień algorytmów, które zostały zweryfikowane ze standardem FIPS 140-2. Walidacja wymaga testowania i weryfikacji przez zatwierdzone przez instytucje rządowe laboratorium ewaluacyjne. Systemy Windows Server 2008, Windows Server 2003 i Windows XP zawierają zatwierdzone moduły kryptograficzne, a moduły, w tym konkretne wystąpienia algorytmów, zostały przetestowane w laboratorium i zweryfikowane przez rząd.

Jakie aplikacje mogą być zgodne ze standardem FIPS 140-2

Wszystkie aplikacje, które wykonują szyfrowanie lub skróty i działają w zweryfikowanej wersji dostawcy usług kryptograficznych systemu Windows, mogą być zgodne, jeśli używają tylko zweryfikowanych wystąpień zatwierdzonych algorytmów. Te aplikacje muszą również spełniać wymagania dotyczące generowania kluczy i zarządzania kluczami przy użyciu funkcji klucza systemu Windows lub spełniając wymagania dotyczące generowania kluczy i zarządzania kluczami w aplikacji. Ponadto w niektórych przypadkach niezgodne algorytmy lub procesy są dozwolone w aplikacji zgodnej ze standardem FIPS 140-2. Na przykład dane mogą być szyfrowane przy użyciu niezgodnego algorytmu, jeśli w tym zaszyfrowanym formularzu dane pozostają w aplikacji, czyli dane nie są eksportowane w tym formularzu lub jeśli dane są dalej szyfrowane (opakowane) przy użyciu algorytmu zgodnego ze standardem FIPS.

Czy oznacza to, że program SQL Server 2008 jest zawsze zgodny ze standardem FIPS 140-2

L.p. Oznacza to, że program SQL Server 2008 można skonfigurować do uruchamiania w trybie zgodnym ze standardem FIPS 140-2.

Jak można skonfigurować program SQL Server 2008 do używania modułu kryptograficznego zweryfikowanego ze standardem FIPS 140-2

  • Wymagania dotyczące systemu operacyjnego

    Program SQL Server 2008 należy zainstalować na komputerze z systemem Windows Server 2008, komputerze z systemem Windows Vista, komputerze z systemem Windows Server 2003 lub komputerze z systemem Windows XP.

  • Wymagania dotyczące administrowania systemem Windows

    Przed uruchomieniem programu SQL Server 2008 należy włączyć tryb FIPS. Dzieje się tak, ponieważ program SQL Server 2008 odczytuje ustawienie FIPS podczas uruchamiania. Aby włączyć standard FIPS, wykonaj następujące kroki.

    • W systemach Windows Server 2008 i Windows Vista

      1. Zaloguj się na komputerze przy użyciu poświadczeń administracyjnych.
      2. Jeśli używasz systemu Windows Server 2008, kliknij przycisk Start, kliknij przycisk Uruchom, wpisz gpedit.msc, a następnie naciśnij ENTER. Zostanie otwarty Edytor lokalnych zasad grupy. Jeśli używasz komputera z systemem Windows Vista, kliknij przycisk Start, wpisz gpedit.msc w polu Rozpocznij wyszukiwanie , a następnie naciśnij ENTER.
      3. W Edytorze lokalnych zasad grupy kliknij dwukrotnie Ustawienia systemu Windows w węźle Konfiguracja komputera, a następnie kliknij dwukrotnie ustawienia zabezpieczeń.
      4. W węźle Ustawienia zabezpieczeń kliknij dwukrotnie pozycję Zasady lokalne, a następnie kliknij pozycję Opcje zabezpieczeń.
      5. W okienku szczegółów kliknij dwukrotnie pozycję Kryptografia systemu: użyj algorytmów zgodnych ze standardem FIPS do szyfrowania, tworzenia skrótów i podpisywania.
      6. W kryptografii systemu: użyj algorytmów zgodnych ze standardem FIPS do szyfrowania, tworzenia skrótów i podpisywania okno dialogowe, kliknij przycisk Włączone, a następnie kliknij przycisk OK , aby zamknąć okno dialogowe.
      7. Zamknij Edytor lokalnych zasad grupy.

    • W przypadku systemów Windows Server 2003 i Windows XP

      1. Zaloguj się na komputerze przy użyciu poświadczeń administracyjnych.
      2. Kliknij przycisk Start, kliknij przycisk Uruchom, wpisz gpedit.msc, a następnie naciśnij ENTER.
      3. W oknie Zasady grupy kliknij dwukrotnie pozycję Ustawienia systemu Windows w węźle Konfiguracja komputera, a następnie kliknij dwukrotnie pozycję Ustawienia zabezpieczeń.
      4. W węźle Ustawienia zabezpieczeń kliknij dwukrotnie pozycję Zasady lokalne, a następnie kliknij pozycję Opcje zabezpieczeń.
      5. W okienku szczegółów kliknij dwukrotnie pozycję Kryptografia systemu: użyj algorytmów zgodnych ze standardem FIPS do szyfrowania, tworzenia skrótów i podpisywania.
      6. W kryptografii systemu: użyj algorytmów zgodnych ze standardem FIPS do szyfrowania, tworzenia skrótów i podpisywania okno dialogowe, kliknij przycisk Włączone, a następnie kliknij przycisk OK , aby zamknąć okno dialogowe.
      7. Zamknij okno Zasady grupy.

Uwagi administratora programu SQL Server 2008

  • Gdy usługa SQL Server 2008 wykryje, że tryb FIPS jest włączony podczas uruchamiania, program SQL Server 2008 rejestruje następujący komunikat w dzienniku błędów programu SQL Server:

    Transport usługi Service Broker działa w trybie zgodności ze standardem FIPS

    Ponadto w dzienniku aplikacji może zostać zarejestrowany następujący komunikat:

    Transport dublowania bazy danych działa w trybie zgodności ze standardem FIPS

    Aby sprawdzić, czy serwer działa w trybie FIPS, znajdź te komunikaty.

  • Aby uzyskać zabezpieczenia okna dialogowego między usługami, proces szyfrowania będzie używać wystąpienia certyfikowanego ze standardem FIPS standardu Advanced Encryption Standard (AES), jeśli tryb FIPS jest włączony. Jeśli tryb FIPS jest wyłączony, proces szyfrowania używa wersji RC4.

  • Podczas konfigurowania punktu końcowego usługi Service Broker w trybie FIPS należy określić usługę AES dla brokera usług. Jeśli punkt końcowy jest skonfigurowany do wersji RC4, program SQL Server generuje błąd. W związku z tym warstwa transportu nie jest uruchamiana.

Jak działa program SQL Server 2008 w trybie zgodnym ze standardem FIPS 140-2

  • Jeśli tryb FIPS w systemie Windows jest włączony i jeśli użytkownik nie ma wyboru, czy zaszyfrować lub skrót danych i jak to zrobić, program SQL Server 2008 działa w trybie zgodnym ze standardem FIPS 140-2. Program SQL Server 2008 będzie używać interfejsu CryptoAPI i będzie używać tylko zweryfikowanych wystąpień algorytmów.

  • Jeśli tryb FIPS jest włączony i jeśli użytkownik ma wybór, czy używać szyfrowania, program SQL Server 2008 będzie zezwalać tylko na szyfrowanie ZGODNE ze standardem FIPS 140-2 lub nie będzie zezwalać na żadne szyfrowanie.

  • Ważne informacje dla deweloperów

    Jeśli napiszesz własny kod szyfrowania lub skrótu, musisz użyć tylko interfejsu CryptoAPI. Należy określić tylko algorytmy dozwolone przez standard FIPS 140-2. W szczególności używaj tylko algorytmu Triple Data Encryption Standard (3DES) lub AES do szyfrowania i tylko algorytm SHA-1 na potrzeby tworzenia skrótów. W programie SQL Server 2008 można użyć następujących słów kluczowych dla odpowiednich algorytmów zweryfikowanych ze standardem FIPS 140-2:

    • DESX(trzyklucza potrójny DES)
    • Triple-DES (dwuklucza potrójny DES)
    • TRIPLE_DES_3KEY (trzyklucze des)
    • TRIPLE_DES_2KEY (dwuklucza potrójny DES)

    Uwaga 16.

    Wybranie desx nie zapewnia algorytmu DESX w programie SQL Server 2005 lub w programie SQL Server 2008. W obu przypadkach wybranie desX zapewnia zweryfikowane wystąpienie trzyklucze des.

  • Ważne informacje dla deweloperów

    Program SQL Server 2008 obsługuje funkcję zarządzania kluczami przedsiębiorstwa (EKM), która umożliwia zarządzanie kluczami kryptograficznymi w oddzielnym module magazynu sprzętowego innej firmy (HSM). Aby działać w trybie zgodnym ze standardem FIPS 140-2 i EKM, jeden z następujących dwóch warunków musi być spełniony:

    • Zewnętrzny moduł kryptograficzny musi być zweryfikowany ze standardem FIPS 140-2.
    • Niektóre algorytmy używane przez moduł kryptograficzny muszą być zweryfikowane ze standardem FIPS 140-2. Użyj tylko tych wystąpień zweryfikowanych algorytmów, gdy do importowania lub eksportowania danych do lub z programu SQL Server wymagane jest szyfrowanie lub odszyfrowywanie oparte na standardze FIPS 140-2.

    Ponadto dane, które będą szyfrowane lub odszyfrowywane przez zewnętrzny moduł kryptograficzny, muszą być przekazywane w postaci zaszyfrowanej przy użyciu wystąpienia zweryfikowanego ze standardem FIPS 140-2.

Jaki jest efekt działania programu SQL Server 2008 w trybie zgodnym ze standardem FIPS 140-2

  • Użycie silniejszego szyfrowania może mieć niewielki wpływ na wydajność tych procesów, w których mniej silne szyfrowanie jest dozwolone, gdy proces nie działa jako zgodny ze standardem FIPS 140-2.

  • Wybór szyfrowania dla usług SSIS (UseEncryption=True) spowoduje wygenerowanie komunikatu o błędzie informującego, że dostępne szyfrowanie jest niezgodne ze zgodnością ze standardem FIPS i jest niedozwolone. Innymi słowy, nie jest wykonywane szyfrowanie procesu komunikatu.

  • Korzystanie z szyfrowania razem ze starszymi usługami przekształcania danych (DTS) nie jest zgodne ze standardem FIPS 140-2. W przypadku usługi DTS tryb FIPS w systemie Windows nie jest sprawdzany. Aby zachować zgodność, nie można wybrać szyfrowania.

  • Większość procesów szyfrowania i tworzenia skrótów programu SQL Server 2008 używa już modułu kryptograficznego zweryfikowanego ze standardem FIPS 140-2. W związku z tym, jeśli uruchamiasz aplikację w trybie zgodnym ze standardem FIPS 140-2, gdy tryb FIPS jest włączony w systemie Windows, nie ma wpływu na użycie lub wydajność aplikacji.

Zastrzeżenie innych firm

Zastrzeżenie dotyczące innych firm

Produkty innych firm omówione w tym artykule są wytwarzane przez producentów niezależnych od firmy Microsoft. Firma Microsoft nie udziela żadnych gwarancji, dorozumianych ani żadnego innego rodzaju, w odniesieniu do wydajności lub niezawodności tych produktów.