Teleport는 인프라 접근을 위한 FedRAMP 요구 사항을 충족시킬 수 있는 기반을 제공합니다.
여기에는 연방 정보 처리 표준 FIPS 140-2 에 대한 지원이 포함됩니다.
이 표준은 암호화 모듈에 대한 미국 정부의 승인된 표준입니다. 이 문서는 Teleport FIPS 모드가 어떻게 작동하는지와
귀사가 FedRAMP 승인을 받도록 어떻게 도울 수 있는지 설명합니다.

Teleport로 FedRAMP 승인 받기

Teleport는 정부 기관에 판매하는 회사를 지원하기 위해 FedRAMP 및 FIPS 140-2 기능을 포함하고 있습니다.

접근 제어

감사 및 책임

구성 관리

식별 및 인증

시스템 및 통신 보호

mTLS

Teleport는 사용자 클라이언트와 Teleport 서버 간의 모든 통신에 대해 mTLS를 구현하며, 아래에 나열된 몇 가지 예외가 있습니다.

SSO Identity Provider에 대한 인증이 성공적으로 이루어진 후, Teleport는 인증된 사용자에게 자체 내부 x.509 CA로 서명된 x.509 클라이언트 인증서를 발행합니다. 대상 Teleport 서비스 및 클라이언트는 모든 SSH, K8s, 데이터베이스 및 웹 애플리케이션 연결에 대해 유효한 x.509 인증서와 mTLS를 요구합니다.

ATO 경계 내에서 mTLS는 Teleport 프록시와 모든 프로토콜을 실행하는 내부 호스트 간의 통신에 사용됩니다.

mTLS 예외

• Teleport 구성 요소는 TLS만을 요구하는 읽기 전용 헬스 체크 REST 엔드포인트를 제공합니다.
• Teleport는 Windows Desktop 및 SSH를 위한 선택적 웹 UI를 제공합니다. 웹 UI 접근을 위해 Teleport는 TLS + 세션 쿠키 + 토큰을 프록시와 함께 사용합니다. Teleport 프록시는 웹 세션을 mTLS로 변환하여 Teleport 서버에 접근합니다.
• Teleport는 선택적 SSH 호환 모드를 제공합니다. 이 모드에서는 Teleport가 Teleport OpenSSH CA에 의해 발급 및 서명된 OpenSSH 클라이언트 인증서를 사용하여 대상 OpenSSH 서비스에 연결합니다.
• Teleport 프록시와 Teleport 데스크톱 에이전트 간의 연결은 mTLS이지만, Teleport 데스크톱 에이전트와 RDP 서버 간의 연결은 TLS만 사용할 수 있습니다. 에이전트는 Teleport의 내부 CA에서 발급한 사용자 인증서를 포함하는 가상 PIV 호환 스마트카드를 통해 RDP 서버에 자신을 인증합니다.

FIPS mTLS 세부정보

FIPS 빌드에서 Teleport는 모든 프로토콜에 대해 Go의 BoringCrypto 기반 네트워킹 스택을 사용합니다.

FIPS 모드에서 사용되는 암호화 알고리즘의 상세 목록은 Teleport FIPS 문서를 참조하십시오.

적절한 FIPS 호환 바이너리를 다운로드하고 설치하기 위해 Teleport Enterprise 버전의 설치 지침을 따라하실 수 있습니다.

예를 들어, 다음 명령을 실행하여 압축된 아카이브에서 다운로드하고 설치할 수 있습니다:

Teleport Enterprise 고객은 [Teleport 계정](https://teleport.sh)에서 사용자 정의 FIPS 패키지를 다운로드할 수 있습니다. `Linux 64-bit (FedRAMP/FIPS)`를 찾으십시오.

curl https://cdn.teleport.dev/teleport-ent-17.0.0-dev-linux-$SYSTEM_ARCH-fips-bin.tar.gz.sha256
<checksum> <filename>
curl -O https://cdn.teleport.dev/teleport-ent-17.0.0-dev-linux-$SYSTEM_ARCH-fips-bin.tar.gz

체크섬이 일치하는지 확인
shasum -a 256 teleport-ent-17.0.0-dev-linux-$SYSTEM_ARCH-fips-bin.tar.gz

tar -xvf teleport-ent-17.0.0-dev-linux-$SYSTEM_ARCH-fips-bin.tar.gz
cd teleport-ent
sudo ./install

다운로드 및 설치를 완료한 후 모든 Teleport Enterprise 바이너리는 /usr/local/bin 디렉토리에 설치됩니다. teleport version 명령을 실행하고 X:boringcrypto 라이브러리가 나열되어 있는지 확인하여 FIPS 호환 바이너리가 설치되었는지 검증할 수 있습니다. 예를 들어:

teleport version
Teleport Enterprise 17.0.0-dev api/14.0.0-gd1e081e 1.22 X:boringcrypto

AWS에서 Teleport 클러스터가 실행되는 경우, 클러스터는 서비스의 낮은 또는 중간 영향 수준에 대해 US-East 또는 US-West 지역에서 실행될 수 있습니다. 높은 영향 수준의 서비스에 대해 클러스터는 FIPS를 지원하기 위해 GovCloud 지역에서 실행되어야 합니다.

Teleport Auth 서비스 구성

다음 구성 파일을 Teleport Auth Service의 /etc/teleport.yaml 로 저장하십시오:

version: v3
teleport:
  auth_token: xxxx-token-xxxx
  # 클러스터에 새 노드를 추가하기 위한 미리 정의된 토큰입니다. 각 토큰은
  # 새 노드가 맡을 수 있는 역할을 지정합니다. 노드를 추가하는 보다 안전한 방법은
  # `ttl node add --ttl` 명령을 사용하여 자동 만료되는 토큰을 생성하는 것입니다.
  #
  # 32바이트 이상의 충분히 무작위인 토큰 생성을 위해 `pwgen` 과 같은 도구를 사용하는 것을
  # 권장합니다.
  # 인증 서버의 IP를 사용할 수도 있습니다. 즉, "10.1.1.10:3025"
  auth_server: 10.1.1.10:3025

auth_service:
  # 인증 서비스를 활성화합니다:
  enabled: true

  tokens:
    # 이 정적 토큰은 다른 노드가 이 Teleport 클러스터에 조인하는 데 사용됩니다
    - proxy,node:xxxx-token-xxxx
    # 이 토큰은 다른 Teleport 클러스터와의 신뢰를 구축하는 데 사용됩니다
    - trusted_cluster:xxxx-different-token-xxxx

  # FIPS를 지원하기 위해 local_auth는 끄고 SSO 커넥터가
  # Teleport에 로그인하는 데 필요합니다.
  authentication:
    # FIPS 모드에서는 local_auth를 false로 설정해야 합니다.
    local_auth: false
    type: saml

  # Proxy 모드를 사용하는 경우 Teleport는 호스트 키 검사를 요구합니다.
  # FIPS 모드에서 Teleport를 시작하려면 이 설정이 필요합니다
  proxy_checks_host_keys: true

  # SSH도 이 노드에서 활성화됩니다:
ssh_service:
  enabled: false

Teleport SSH 서비스 구성

다음 구성 파일을 Node Service 호스트의 /etc/teleport.yaml 로 저장하십시오:

version: v3
teleport:
  auth_token: xxxx-token-xxxx

  # Proxy 서비스 주소를 지정하거나...
  proxy_server: teleport.example.com:3080
  # 또는 인증 서비스 주소
  auth_server: 10.1.1.10:3025

# SSH 서비스를 활성화하고 인증 및 프록시 서비스를 비활성화합니다:
ssh_service:
  enabled: true
auth_service:
  enabled: false
proxy_service:
  enabled: false

서비스 유닛 파일 구성

GitHub의 examples directory에서 systemd 서비스 유닛 파일을 다운로드하고 두 서버 모두 /etc/systemd/system/teleport.service 로 저장합니다.

두 서버에서 이 명령을 실행하세요:
sudo systemctl daemon-reload
sudo systemctl enable teleport

FIPS 모드에서 Teleport 시작

teleport start --fips 를 사용할 경우, Teleport는 FIPS 모드로 시작됩니다.

• --fips 플래그가 선택되면, 바이너리가 적절한 암호화 모듈(BoringCrypto)로 컴파일되지 않는 한 Teleport는 시작되지 않습니다.
• TLS 또는 SSH 암호화 기본 요소가 지정되지 않으면 Teleport는 FIPS 준수 암호화 알고리즘으로 기본값을 사용합니다.
• TLS 또는 SSH 암호화 기본 요소가 FIPS 140-2 준수하지 않으면 Teleport가 시작되지 않습니다.
• Teleport는 DynamoDB와 S3 모두에 대해 항상 저장 시 암호화를 활성화합니다.
• 기록 프록시 모드를 선택한 경우, 호스트 인증서의 유효성 검사는 항상 이루어져야 합니다.
• ps aux 와 같은 명령을 실행하면 Teleport가 FIPS 모드에서 실행 중임을 알 수 있습니다.

FIPS 모드에서 Helm으로 Teleport 클러스터 배포하기

클러스터 구성의 cluster-values.yaml에서 다음 값을 설정하십시오:

enterpriseImage: public.ecr.aws/gravitational/teleport-ent-fips-distroless
authentication:
  localAuth: false

Teleport 버전 15부터는 FIPS 모드를 활성화하기 위해 values 파일에서 versionOverride 및 extraArgs를 설정할 필요가 없습니다.

기본 암호화 알고리즘

FIPS 모드에서는 Teleport가 다음의 암호화 알고리즘을 기본적으로 사용합니다.

SSH의 기본 FIPS 암호화:

• aes128-gcm@openssh.com
• aes256-gcm@openssh.com
• aes128-ctr
• aes192-ctr
• aes256-ctr

SSH의 기본 FIPS 키 교환 알고리즘(KEX):

• ecdh-sha2-nistp256
• ecdh-sha2-nistp384

SSH의 기본 FIPS 메시지 인증 코드(MAC):

• hmac-sha2-256-etm@openssh.com
• hmac-sha2-512-etm@openssh.com
• hmac-sha2-256
• hmac-sha2-512

SSH의 기본 FIPS 공개 키 인증 알고리즘:

• ecdsa-sha2-nistp256
• ecdsa-sha2-nistp384
• rsa-sha2-256
• rsa-sha2-512

TLS 1.2의 기본 FIPS 암호 스위트:

• tls-ecdhe-ecdsa-with-aes-128-gcm-sha256
• tls-ecdhe-rsa-with-aes-128-gcm-sha256
• tls-ecdhe-ecdsa-with-aes-256-gcm-sha384
• tls-ecdhe-rsa-with-aes-256-gcm-sha384

TLS 1.3의 기본 FIPS 암호 스위트:

• tls-aes-128-gcm-sha256
• tls-aes-256-gcm-sha384

FedRAMP 감사 로그

연결이 종료될 때( *srv.ServerContext의 종료), 전송된 총 데이터와 수신된 데이터가 감사 로그에 기록됩니다.

Teleport FIPS 바이너리가 강제하는 다른 사항은 무엇인가요?

• TLS 프로토콜 버전은 TLS 1.2 및 TLS 1.3으로 제한됩니다.
• NaCl과 같은 비준수 알고리즘의 모든 사용이 제거되고 AES-GCM과 같은 준수 알고리즘으로 대체됩니다.
• Teleport는 BoringCrypto로 컴파일됩니다.
• 사용자, 호스트 및 CA 인증서(기록 프록시 모드의 호스트 키)는 2048비트 RSA 개인 키만 사용합니다.

원격 데스크탑 액세스

Teleport는 RDP 연결을 위해 Rust를 사용하며, 따라서 FIPS 준수 TLS 암호화를 위해 Cloudflare의 boring 라이브러리의 포크를 내부적으로 사용합니다. 위에 나열된 사양과의 주요 차이점은 TLS가 TLS 1.2로만 제한된다는 점입니다(1.3은 지원하지 않음).

arm64 FIPS 빌드는 Windows 데스크탑에 대한 액세스를 지원하지 않습니다.