Condividi tramite

Istruzioni per l'uso di SQL Server 2014 nella modalità conforme a FIPS 140-2

  • Articolo

Questo articolo illustra le istruzioni per la pubblicazione Federal Information Processing Standard 140-2 (FIPS 140-2) e come usare Microsoft SQL Server 2014 nella modalità conforme a FIPS 140-2.

Versione originale del prodotto: SQL Server 2014
Numero KB originale: 3141890

Note

  • I termini "conformità FIPS 140-2", "conformità FIPS 140-2" e "modalità conforme a FIPS 140-2" sono definiti qui per uso e chiarezza. Questi termini non sono riconosciuti o definiti per enti pubblici. I Stati Uniti e i governi canadesi riconoscono la convalida dei moduli crittografici rispetto a standard come FIPS 140-2, ma non l'uso di moduli crittografici in modo specifico o conforme. In questo articolo viene usato "conforme a FIPS 140-2", "conformità FIPS 140-2" e "modalità conforme a FIPS 140-2" nel senso che SQL Server 2014 usa solo istanze FIPS 140-2 convalidate di algoritmi e funzioni hash in tutte le istanze in cui i dati crittografati o con hash vengono importati o esportati da SQL Server 2014. Ciò significa inoltre che SQL Server 2014 gestisce le chiavi in modo sicuro, come richiesto dai moduli di crittografia FIPS 140-2 convalidati. Il processo di gestione delle chiavi include anche la generazione di chiavi e l'archiviazione delle chiavi.

  • In questo caso viene usato "certificato" per indicare che l'istanza dell'algoritmo è FIPS 140-2-convalidata o che il sistema operativo contiene istanze fips 140-2 convalidate di algoritmi.

Che cos'è FIPS?

Federal Information Processing Standard (FIPS) è uno standard sviluppato dai due organismi governativi seguenti:

  • Il National Institute of Standards and Technology (NIST) nel Stati Uniti
  • L'istituzione della sicurezza delle comunicazioni (CSE) in Canada

Gli standard FIPS sono consigliati o imposti per l'uso nei sistemi IT gestiti dal governo federale nei Stati Uniti e canada.

Che cos'è FIPS 140-2?

FIPS 140-2 è un'istruzione denominata "Security Requirements for Cryptographic Modules". Specifica quali algoritmi di crittografia e quali algoritmi di hash possono essere usati e come devono essere generate e gestite le chiavi di crittografia. Alcuni hardware, software e processi che contengono gli algoritmi possono essere considerati certificati FIPS 140-2. Altri hardware, software e processi che chiamano gli algoritmi corretti possono essere conformi a FIPS 140-2.

Qual è la differenza tra fips 140-2 conforme e certificato FIPS 140-2?

SQL Server 2014 può essere configurato ed eseguito in modo conforme a FIPS 140-2. Per configurare SQL Server 2014 in questo modo, SQL Server 2014 deve essere eseguito in un sistema operativo certificato FIPS 140-2 o in un sistema operativo che fornisce moduli crittografici certificati.

La differenza tra conformità e certificazione non è sottile. Gli algoritmi possono essere certificati. Non è sufficiente usare un algoritmo solo perché è elencato negli elenchi approvati in FIPS 140-2. È invece necessario usare un'istanza di tale algoritmo certificato. Ciò significa che l'istanza è convalidata per enti pubblici. La certificazione richiede test e verifica da un lab di valutazione Stati Uniti o canadese approvato dal governo canadese. Windows Server 2012 e versioni successive e anche Windows 8 e versioni successive contengono l'istanza certificata di ogni algoritmo consentito. Più importante, una chiamata a ognuno di questi algoritmi fornisce solo l'istanza certificata.

Quali prodotti dell'applicazione possono essere conformi a FIPS 140-2?

Tutte le applicazioni che eseguono la crittografia o l'hashing e che vengono eseguite in una versione certificata di Windows possono essere conformi usando solo le istanze certificate degli algoritmi approvati e rispettando i requisiti di generazione e gestione delle chiavi. A tale scopo, è possibile eseguire questa operazione con uno dei metodi seguenti:

  • Usando la funzione Windows per la generazione di chiavi e la gestione delle chiavi
  • Rispettare i requisiti di generazione e gestione delle chiavi all'interno dell'applicazione

Tenere presente che un'applicazione conforme a FIPS può contenere aree in cui sono abilitati algoritmi o processi non conformi. Ad esempio, alcuni processi interni che rimangono all'interno del sistema e alcuni dati esterni che devono essere crittografati ulteriormente da un'istanza di algoritmo certificato sono consentiti.

SQL Server 2014 è sempre conforme a FIPS 140-2?

No. SQL Server 2014 può essere conforme a FIPS 140-2 perché può essere configurato ed eseguito in modo che usi solo le istanze dell'algoritmo certificato FIPS 140-2 chiamate tramite CryptoAPI per la crittografia o l'hashing in ogni istanza in cui è necessaria la conformità FIPS 140-2.

Come è possibile configurare SQL Server 2014 in modo che sia conforme a FIPS 140-2?

Requisito del sistema operativo

Installare SQL Server 2014 in un server basato su uno dei sistemi operativi seguenti:

  • Windows Server 2012
  • Windows Server 2012 R2
  • Windows 8
  • Windows 8.1
  • Windows 10

Requisito di amministrazione del sistema Windows

La modalità FIPS deve essere impostata prima dell'avvio di SQL Server 2014. SQL Server legge l'impostazione all'avvio. Per impostare la modalità FIPS, seguire questa procedura:

  1. Accedere a Windows come amministratore di sistema di Windows.
  2. Fare clic su Inizia.
  3. Fare clic su Pannello di controllo.
  4. Fare clic su Strumenti di amministrazione. Potrebbe essere necessario passare a Icone di destinazione per il passaggio successivo.
  5. Fare clic su Criteri di sicurezza locali. Verrà visualizzata la finestra Impostazioni di sicurezza locali.
  6. Nel riquadro di spostamento fare clic suCriteri locali e quindi su Opzioni di sicurezza.
  7. Nel riquadro destro fare doppio clic su Crittografia di sistema: usare algoritmi conformi a FIPS per la crittografia, l'hashing e la firma.
  8. Nella finestra di dialogo visualizzata fare clic su Abilitato e quindi su Applica.
  9. Scegliere OK.
  10. Chiudere la finestra Impostazioni di sicurezza locali.

Requisito dell'amministratore di SQL Server

Quando il servizio SQL Server (quando un endpoint è configurato per Service Broker o mirroring del database) rileva che la modalità FIPS è abilitata all'avvio, SQL Server registra il messaggio seguente nel log degli errori di SQL Server:

Il trasporto di Service Broker è in esecuzione in modalità di conformità FIPS.

Inoltre, è possibile trovare il messaggio seguente registrato nel registro eventi di Windows:

Il trasporto mirroring del database è in esecuzione in modalità di conformità FIPS.

È possibile verificare che il server sia in esecuzione in modalità FIPS cercando questi messaggi.

  • Per la sicurezza della finestra di dialogo (tra servizi), la crittografia usa l'istanza certificata FIPS di Advanced Encryption Standard (AES) se la modalità FIPS è abilitata. Se la modalità FIPS è disabilitata, la crittografia usa RC4.

  • Quando si configura un endpoint di Service Broker in modalità FIPS, l'amministratore deve specificare "AES" per Service Broker. Se l'endpoint è configurato per RC4, SQL Server genererà un errore. Pertanto, il livello di trasporto non inizierà.

Come viene gestito SQL Server 2014 in modalità conforme a FIPS 140-2?

  • Con la modalità FIPS in Windows attivata, in tutte le aree in cui l'utente non ha scelta se crittografare o eseguire l'hash e su come verrà eseguita, SQL Server 2014 verrà eseguito in conformità con FIPS 140-2. SQL Server 2014 userà CryptoAPI in Windows e userà solo le istanze certificate degli algoritmi.

  • Con la modalità FIPS in Windows attivata, in tutte le aree in cui l'utente ha la possibilità di scegliere se usare la crittografia, SQL Server 2014 abiliterà solo la crittografia conforme a FIPS 140-2 o non abiliterà alcuna crittografia.

  • Informazioni importanti per gli sviluppatori di software: in tutte le aree in cui lo sviluppatore o l'utente scrive il proprio codice per la crittografia o l'hashing, devono essere incaricati di usare solo CryptoAPI (e quindi solo le istanze certificate) e di specificare solo gli algoritmi consentiti da FIPS 140-2. Per l'elenco ufficiale del National Institute of Standards and Technology (NIST) degli algoritmi crittografici approvati FIPS 140-2, passare a A, C e D in Cryptographic Module Validation Program.

Qual è l'effetto dell'esecuzione di SQL Server 2014 in modalità conforme a FIPS 140-2?

  • L'uso di una crittografia più avanzata può avere un piccolo effetto sulle prestazioni per i processi per i quali è consentita una crittografia meno complessa quando il processo non funziona come conforme a FIPS 140-2.

  • La selezione della crittografia per SSIS (UseEncryption=True) genererà un messaggio di errore che indica che la crittografia disponibile non è compatibile con la conformità FIPS e non è consentita. In altre parole, non viene eseguita alcuna crittografia del processo di messaggio.

  • L'uso della crittografia insieme a DTS legacy non è conforme a FIPS 140-2. Per DTS, la modalità FIPS in Windows non è selezionata. Pertanto, è responsabilità dell'utente selezionare nessuna crittografia per rimanere conforme.

  • Poiché la maggior parte dei processi di crittografia e hash di SQL Server 2014 è già conforme a FIPS 140-2, l'esecuzione con la conformità completa (ovvero con la modalità FIPS in Windows attivata) avrà poco o nessun effetto sull'uso o sulle prestazioni del prodotto.

Dove è possibile ottenere altre informazioni su FIPS 140-2?

Per altre informazioni sullo standard FIPS 140-2, vedere la pubblicazione NIST seguente:

Requisiti di sicurezza per i moduli crittografici

Dichiarazione di non responsabilità sulle informazioni di terze parti

I prodotti di terzi citati in questo articolo sono prodotti da società indipendenti da Microsoft. Microsoft non rilascia alcuna garanzia implicita o esplicita relativa alle prestazioni o all'affidabilità di tali prodotti