これはFIPSコンプライアンスとTLSバージョンおよび暗号スイートの非公式のドラフトです。
この⽂書は、Cato Networksが連邦情報処理規格（FIPS）にどのように関連しているかを説明します。 また、TLSはFIPS 140-2および140-3の暗号化要件とどのように関連するかを説明します。
参考のために、互換性のレベル（Modern、Intermediate、Legacy）とそれに関連する暗号構成を提供するMozilla Server Side TLS wikiを参照してください。
Cato NetworksはFIPSに準拠していません。 ただし、TLSインスペクションポリシーを使用して、特定のTLSバージョンと暗号スイートの互換性レベルをFIPSガイドラインにより一貫させることができます。 詳細については、アカウントのためのTLSインスペクションポリシーの設定を参照してください。
アカウントで特定のTLSバージョンと互換性レベルを適用するには、アクションルールのTLSバージョンと暗号スイートのオプションを使用してTLSインスペクションポリシーを構成します。
Mozillaの互換性レベルは、FIPS調整のために推奨される暗号のガイダンスを提供します。 以下の互換性プロファイルは、TLSインスペクションポリシーを適切に構成するのに役立ちます。
-
組織のFIPS調整と互換性のニーズに基づいて、ModernまたはIntermediate互換性プロファイルを使用します
-
より広範なFIPS承認の暗号を含めるためにIntermediate互換性プロファイルを使用します
-
Legacyプロファイルは古い非承認の暗号を含むため使用を避けます
-
TLS 1.3
-
FIPS 140-2/140-3承認済み：
-
TLS_AES_128_GCM_SHA256 -
TLS_AES_256_GCM_SHA384
-
-
未承認：
-
TLS_CHACHA20_POLY1305_SHA256（ほとんど使用されない）
-
-
-
TLS 1.2
-
モダンセットには承認されたTLS 1.2暗号はありません。
-
推奨事項：最小TLSバージョンとしてTLS 1.3を適用し、Modern暗号スイートを使用するようにTLSインスペクションポリシーを設定できます。 これにより、FIPS推奨の暗号化慣行により近く合わせることができます。
-
TLS 1.3
-
Modernと同じ互換性
-
-
TLS 1.2
-
FIPS承認済み暗号：
-
ECDHE-ECDSA-AES128-GCM-SHA256 -
ECDHE-RSA-AES128-GCM-SHA256 -
ECDHE-ECDSA-AES256-GCM-SHA384 -
ECDHE-RSA-AES256-GCM-SHA384 -
DHE-RSA-AES128-GCM-SHA256 -
DHE-RSA-AES256-GCM-SHA384
-
-
未承認：
-
ECDHE-ECDSA-CHACHA20-POLY1305 -
ECDHE-RSA-CHACHA20-POLY1305 -
DHE-RSA-CHACHA20-POLY1305
-
-
推奨事項：組織がFIPS調整とModernプロファイルが許可するより広範なクライアント互換性を要求する場合は、Intermediate互換性レベルを使用して、最小TLSバージョンでTLS 1.2を構成します。 このポリシーには、いくつかのFIPS承認済みのオプションが含まれていますが、承認されていない暗号も含まれています。
0件のコメント
記事コメントは受け付けていません。