Istruzioni per l'uso di SQL Server 2014 nella modalità conforme a FIPS 140-2

Articolo
2025-05-06

Questo articolo illustra le istruzioni per la pubblicazione Federal Information Processing Standard 140-2 (FIPS 140-2) e come usare Microsoft SQL Server 2014 nella modalità conforme a FIPS 140-2.

Versione originale del prodotto: SQL Server 2014
Numero KB originale: 3141890

Annotazioni

I termini "conformità FIPS 140-2", "conformità FIPS 140-2" e "modalità conforme a FIPS 140-2" sono definiti qui per uso e chiarezza. Questi termini non sono termini governativi riconosciuti o definiti. I Stati Uniti e i governi canadesi riconoscono la convalida dei moduli crittografici rispetto a standard come FIPS 140-2, ma non l'uso di moduli crittografici in modo specifico o conforme. In questo articolo usiamo "conforme a FIPS 140-2", "conforme a FIPS 140-2" e "modalità conforme a FIPS 140-2" nel senso che SQL Server 2014 usa solo istanze di algoritmi e funzioni hash convalidate da FIPS 140-2 in tutte le istanze in cui i dati crittografati o con hashing vengono importati o esportati da SQL Server 2014. Ciò significa inoltre che SQL Server 2014 gestisce le chiavi in modo sicuro, come richiesto dai moduli di crittografia FIPS 140-2 convalidati. Il processo di gestione delle chiavi include anche la generazione di chiavi e l'archiviazione delle chiavi.
In questo caso usiamo "certificato" per indicare che l'istanza dell'algoritmo è convalidata FIPS 140-2 o che il sistema operativo contiene istanze di algoritmi convalidate FIPS 140-2.

Che cos'è FIPS?

Federal Information Processing Standard (FIPS) è uno standard sviluppato dai due organismi governativi seguenti:

Il National Institute of Standards and Technology (NIST) nel Stati Uniti
L'istituzione della sicurezza delle comunicazioni (CSE) in Canada

Gli standard FIPS sono consigliati o imposti per l'uso nei sistemi IT gestiti dal governo federale nei Stati Uniti e canada.

Che cos'è FIPS 140-2?

FIPS 140-2 è un'istruzione denominata "Security Requirements for Cryptographic Modules". Specifica quali algoritmi di crittografia e quali algoritmi di hash possono essere usati e come devono essere generate e gestite le chiavi di crittografia. Alcuni hardware, software e processi che contengono gli algoritmi possono essere considerati certificati FIPS 140-2. Altri componenti hardware, software e processi che chiamano gli algoritmi corretti possono essere conformi a FIPS 140-2.

Qual è la differenza tra la conformità allo standard FIPS 140-2 e la certificazione FIPS 140-2?

SQL Server 2014 può essere configurato ed eseguito in modo conforme a FIPS 140-2. Per configurare SQL Server 2014 in questo modo, SQL Server 2014 deve essere eseguito in un sistema operativo certificato FIPS 140-2 o in un sistema operativo che fornisce moduli crittografici certificati.

La differenza tra conformità e certificazione non è sottile. Gli algoritmi possono essere certificati. Non è sufficiente utilizzare un algoritmo solo perché è elencato negli elenchi approvati in FIPS 140-2. È invece necessario usare un'istanza di tale algoritmo certificato. Ciò significa che l'istanza è convalidata per enti pubblici. La certificazione richiede test e verifica da un lab di valutazione Stati Uniti o canadese approvato dal governo canadese. Windows Server 2012 e versioni successive e anche Windows 8 e versioni successive contengono l'istanza certificata di ogni algoritmo consentito. Più importante, una chiamata a ognuno di questi algoritmi fornisce solo l'istanza certificata.

Quali prodotti applicativi possono essere conformi a FIPS 140-2?

Tutte le applicazioni che eseguono la crittografia o l'hashing e che vengono eseguite in una versione certificata di Windows possono essere conformi usando solo le istanze certificate degli algoritmi approvati e rispettando i requisiti di generazione e gestione delle chiavi. A tale scopo, è possibile eseguire questa operazione con uno dei metodi seguenti:

Usando la funzione Windows per la generazione di chiavi e la gestione delle chiavi
Rispettare i requisiti di generazione e gestione delle chiavi all'interno dell'applicazione

Tenere presente che un'applicazione conforme a FIPS può contenere aree in cui sono abilitati algoritmi o processi non conformi. Ad esempio, alcuni processi interni che rimangono all'interno del sistema e alcuni dati esterni che devono essere crittografati ulteriormente da un'istanza di algoritmo certificato sono consentiti.

SQL Server 2014 è sempre conforme a FIPS 140-2?

No SQL Server 2014 può essere conforme a FIPS 140-2 perché può essere configurato ed eseguito in modo che usi solo le istanze dell'algoritmo certificato FIPS 140-2 chiamate tramite CryptoAPI per la crittografia o l'hashing in ogni istanza in cui è necessaria la conformità FIPS 140-2.

Come si può configurare SQL Server 2014 per essere conforme a FIPS 140-2?

Requisito del sistema operativo

Installare SQL Server 2014 in un server basato su uno dei sistemi operativi seguenti:

Windows Server 2012
Windows Server 2012 R2
Windows 8
Windows 8.1
Windows 10

Requisito di amministrazione del sistema Windows

La modalità FIPS deve essere impostata prima dell'avvio di SQL Server 2014. SQL Server legge l'impostazione all'avvio. Per impostare la modalità FIPS, seguire questa procedura:

Accedere a Windows come amministratore di sistema di Windows.
Selezionare Inizio.
Selezionare Pannello di controllo.
Selezionare Strumenti di amministrazione. Potrebbe essere necessario passare a Icone di destinazione per il passaggio successivo.
Selezionare Criteri di sicurezza locali. Verrà visualizzata la finestra Impostazioni di sicurezza locali.
Nel riquadro di spostamento selezionare Criteri locali e quindi Opzioni di sicurezza.
Nel riquadro di destra, fai doppio clic su Crittografia di sistema: utilizza algoritmi conformi a FIPS per la crittografia, l'hashing e la firma.
Nella finestra di dialogo visualizzata, seleziona Abilitato, quindi seleziona Applica.
Seleziona OK.
Chiudere la finestra Impostazioni di sicurezza locali.

Requisito dell'amministratore di SQL Server

Quando il servizio SQL Server (quando un endpoint è configurato per Service Broker o mirroring del database) rileva che la modalità FIPS è abilitata all'avvio, SQL Server registra il messaggio seguente nel log degli errori di SQL Server:

Il trasporto di Service Broker è in esecuzione in modalità di conformità FIPS.

Inoltre, è possibile trovare il messaggio seguente registrato nel registro eventi di Windows:

Il trasporto del mirroring del database è in esecuzione in modalità conforme a FIPS.

È possibile verificare che il server sia in esecuzione in modalità FIPS cercando questi messaggi.

Per la sicurezza della finestra di dialogo (tra servizi), la crittografia usa l'istanza certificata FIPS di Advanced Encryption Standard (AES) se la modalità FIPS è abilitata. Se la modalità FIPS è disabilitata, la crittografia usa RC4.
Quando si configura un endpoint di Service Broker in modalità FIPS, l'amministratore deve specificare "AES" per Service Broker. Se l'endpoint è configurato per RC4, SQL Server genererà un errore. Pertanto, il livello di trasporto non inizierà.

Come viene utilizzato SQL Server 2014 in modalità conforme a FIPS 140-2?

Con la modalità FIPS in Windows attivata, in tutte le aree in cui l'utente non ha scelta se crittografare o eseguire l'hash e su come verrà eseguita, SQL Server 2014 verrà eseguito in conformità con FIPS 140-2. SQL Server 2014 userà CryptoAPI in Windows e userà solo le istanze certificate degli algoritmi.
Con la modalità FIPS in Windows attivata, in tutte le aree in cui l'utente può scegliere se utilizzare la crittografia, SQL Server 2014 abiliterà solo la crittografia conforme a FIPS 140-2 o non abiliterà alcuna crittografia.
Informazioni importanti per gli sviluppatori di software: in tutte le aree in cui lo sviluppatore o l'utente scrive il proprio codice per la crittografia o l'hashing, devono essere incaricati di usare solo CryptoAPI (e quindi solo le istanze certificate) e di specificare solo gli algoritmi consentiti da FIPS 140-2. Per l'elenco ufficiale del National Institute of Standards and Technology (NIST) degli algoritmi crittografici approvati FIPS 140-2, passare a A, C e D in Cryptographic Module Validation Program.

Qual è l'effetto dell'esecuzione di SQL Server 2014 in modalità conforme a FIPS 140-2?

L'uso di una crittografia più avanzata può avere un piccolo effetto sulle prestazioni per quei processi per i quali è consentita una crittografia meno forte quando il processo non funziona in conformità con FIPS 140-2.
La selezione della crittografia per SSIS (UseEncryption=True) genererà un messaggio di errore che indica che la crittografia disponibile non è compatibile con la conformità FIPS e non è consentita. In altre parole, non viene eseguita alcuna crittografia del processo di messaggio.
L'uso della crittografia insieme a DTS legacy non è conforme a FIPS 140-2. Per DTS, la modalità FIPS in Windows non è selezionata. Pertanto, è responsabilità dell'utente selezionare nessuna crittografia per rimanere conforme.
Poiché la maggior parte dei processi di crittografia e hashing di SQL Server 2014 è già conforme a FIPS 140-2, l'esecuzione in conformità completa, ovvero con la modalità FIPS in Windows attivata, avrà un effetto minimo o nullo sull'uso o sulle prestazioni del prodotto.

Dove è possibile ottenere altre informazioni su FIPS 140-2?

Per altre informazioni sullo standard FIPS 140-2, vedere la pubblicazione NIST seguente:

Requisiti di sicurezza per i moduli crittografici

Dichiarazione di non responsabilità sulle informazioni di terze parti

I prodotti di terzi citati in questo articolo sono prodotti da società indipendenti da Microsoft. Microsoft non rilascia alcuna garanzia implicita o esplicita relativa alle prestazioni o all'affidabilità di tali prodotti

Condividi tramite