.\" -*- coding: UTF-8 -*-
'\" t
.\" Title: update-crypto-policies
.\" Author: [see the "AUTHOR" section]
.\" Generator: DocBook XSL Stylesheets v1.79.1
.\" Date: 08/24/2019
.\" Manual: \ \&
.\" Source: update-crypto-policies
.\" Language: English
.\"
.\"*******************************************************************
.\"
.\" This file was generated with po4a. Translate the source file.
.\"
.\"*******************************************************************
.TH UPDATE\-CRYPTO\-POLI 8 24.08.2019 update\-crypto\-policies \ \(dq
.ie \n(.g .ds Aq \(aq
.el .ds Aq '
.\" -----------------------------------------------------------------
.\" * Define some portability stuff
.\" -----------------------------------------------------------------
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" http://bugs.debian.org/507673
.\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" -----------------------------------------------------------------
.\" * set default formatting
.\" -----------------------------------------------------------------
.\" disable hyphenation
.nh
.\" disable justification (adjust text to left margin only)
.ad l
.\" -----------------------------------------------------------------
.\" * MAIN CONTENT STARTS HERE *
.\" -----------------------------------------------------------------
.SH BEZEICHNUNG
update\-crypto\-policies \- Verwalten der Richtlinien für die verschiedenen
kryptographischen Backends
.SH ÜBERSICHT
.sp
\fBupdate\-crypto\-policies\fP [\fIBEFEHL\fP]
.SH BESCHREIBUNG
.sp
\fBupdate\-crypto\-policies\fP(8) wird zum Setzen der anwendbaren Richtlinie für
die verschiedenen kryptographischen Backends wie SSL/TLS\-Bibliotheken
verwandt\&. Dies wird die Standardrichtlinie sein, die von den Backends
verwandt wird, außer der Anwendungsbenutzer konfiguriert dies anders\&.
.sp
Die verfügbaren Richtlinien sind in der Handbuchseite \fBcrypto\-policies\fP(7)
beschrieben\&.
.sp
Die gewünschte Systemrichtlinie wird in \fI/etc/crypto\-policies/config\fP
ausgewählt und dieses Werkzeug wird die individuellen
Richtlinienanforderungen für alle Backends konfigurieren, die diese
Konfiguration unterstützen\&. Nachdem dieses Werkzeug aufgerufen wurde, wird
dem Administrator gewährleistet, dass alle Anwendungen, die die
unterstützten Backends einsetzen, einer Richtlinie folgen, die das
konfigurierte Profil einhält\&.
.sp
Beachten Sie, dass die obige Gewährleistung soweit reicht, wie die
Anwendungen konfiguriert wurden, dieser Standardrichtlinie zu folgen (die
Details hängen vom Backend ab, weitere Informationen finden Sie
nachfolgend)\&.
.sp
Die erstellten Backend\-Richtlinien werden in
\fI/etc/crypto\-policies/back\-ends\fP abgelegt\&. Folgende Backends werden
derzeit unterstützt:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
GnuTLS\-Bibliothek
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
OpenSSL\-Bibliothek
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
NSS\-Bibliothek
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
OpenJDK
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Libkrb5
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
BIND
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
OpenSSH
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Libreswan
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
libssh
.RE
.sp
Anwendungen und Sprachen, die sich auf diese Backends abstützen, werden auch
den Systemrichtlinien folgen\&. Beispiele sind Httpd, Nginx, PHP und
andere\&.
.sp
Es wird im Allgemeinen empfohlen, das System neu zu starten, nachdem die
System\-Kryptorichtlinien mit dem Befehl »update\-crypto\-policies \-\-set«
geändert wurden, damit diese vollständig Wirkung zeigen können, da deren
Konfigurationsdateien beim Starten der Anwendungen geladen
werden\&. Andernfalls müssen die Anwendungen, die vor der Ausführung des
Befehls gestartet wurden, neu gestartet werden, um die aktualisierte
Konfiguration zu laden\&.
.SH BEFEHLE
.sp
Im Werkzeug »update\-crypto\-policies« sind die folgenden Befehle verfügbar:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\-\-show: Zeigt die derzeit angewandte Kryptorichtlinie\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\-\-is\-applied: Kehrt erfolgreich zurück, falls die derzeit konfigurierte
Richtlinie bereits angewandt wird\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\-\-set: Setzt die aktuelle Richtlinie und überschreibt die
Konfigurationsdatei\&.
.RE
.SH OPTIONEN
.sp
Die folgenden Optionen sind im Werkzeug \fBupdate\-crypto\-policies\fP verfügbar:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\-\-no\-check: Standardmäßig führt dieses Werkzeug eine Plausibilitätsprüfung
durch, ob die konfigurierte Richtlinie durch die unterstützten Werkzeuge
akzeptiert wird\&. Diese Option deaktiviert diese Prüfungen\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\-\-no\-reload: Standardmäßig führt dieses Werkzeug dazu, dass einige laufende
Anwendungen ihre konfigurierte Richtlinie neu laden\&. Diese Option führt
zum Überspringen des Neuladens\&.
.RE
.SH ANWENDUNGSUNTERSTÜTZUNG
.sp
Anwendungen im Betriebssystem, die eine Vorgabekonfigurationsdatei
bereitstellen, die eine kryptographische Richtlinienzeichenkette enthält,
werden nach und nach angepasst, um diese Richtlinien zu unterstützen\&.
.sp
Wenn eine Anwendung eine Konfigurationsdatei bereitstellt, müssen folgende
Änderungen durchgeführt werden, damit diese die systemweiten Richtlinien
anwendet:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Anwendungen, die GnuTLS verwenden: Falls eine Anwendung die Konfiguration
von Chiffren\-Prioritäten über eine Zeichenkette erlaubt, sollte die
besondere Prioritätszeichenkette »@SYSTEM« sämtliche andere
Prioritätszeichenketten ersetzen\&. Anwendungen, welche die
Standard\-Bibliothekseinstellungen verwenden, folgen automatisch dieser
Richtlinie\&. Anwendungen, die der Richtlinie folgen, erben die
Einstellungen für Chiffre\-Suiten\-Voreinstellungen, TLS\- und
DTLS\-Protokollversionen, erlaubten elliptischen Kurven und Beschränkungen
für kryptographische Schlüssel\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Anwendungen, die OpenSSL verwenden: Falls eine Anwendung die Konfiguration
der »ciphersuite«\-Zeichenkette erlaubt, sollte die besondere
Chiffrenzeichenkette »PROFILE« sämtliche andere Chiffrenzeichenketten
ersetzen\&. Anwendungen, welche die Standard\-Bibliothekseinstellungen
verwenden, folgen automatisch dieser Richtlinie\&. Anwendungen, die der
Richtlinie folgen, erben die Einstellungen für
Chiffre\-Suiten\-Voreinstellungen\&. Standardmäßig liest die
OpenSSL\-Bibliothek eine Konfigurationsdatei, wenn sie initialisiert
wird\&. Falls die Anwendung das Laden der Konfigurationsdatei nicht außer
Kraft setzt, dann setzt die Richtlinie auch die minimale
TLS\-Protokollversion und die Standard\-Chiffren\-Suite\-Voreinstellung über
diese Datei\&. Falls die Anwendung lange läuft, wie ein Httpd\-Server, muss
sie neu gestartet werden, um die Konfigurationsdatei neu zu laden, nachdem
die Richtlinie geändert wurde\&. Andernfalls kann die geänderte Richtlinie
nicht wirksam werden\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Anwendungen, die NSS verwenden: Anwendungen, die NSS verwenden, werden
standardmäßig die Krypto\-Richtlinien laden\&. Sie erben die Einstellungen
für Chiffre\-Suiten\-Voreinstellungen, TLS\- und DTLS\-Protokollversionen,
erlaubten elliptischen Kurven und Beschränkungen für kryptographische
Schlüssel\&. Beachten Sie, dass die NSS\-Richtlinie standardmäßig
durchgesetzt wird, anders als bei OpenSSL und GnutTLS; um Anwendungen daran
zu hindern, der Richtlinie zu folgen, muss die Umgebungsvariable
NSS_IGNORE_SYSTEM_POLICY vor der Ausführung der Anwendung auf 1 gesetzt
werden\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Anwendungen, die Java verwenden: Es wird keine besondere Behandlung
benötigt\&. Anwendungen, die Java verwenden, werden standardmäßig die
Krypto\-Richtlinien laden\&. Diese Anwendungen werden dann die Einstellungen
für Chiffre\-Suiten\-Voreinstellungen, TLS\- und DTLS\-Protokollversionen,
erlaubten elliptischen Kurven und Beschränkungen für kryptographische
Schlüssel erben\&. Um OpenJDK\-Anwendungen daran zu hindern, der Richtlinie
zu folgen, sollte die Datei
/jre/lib/security/java\&.security bearbeitet werden,
damit sie security\&.useSystemPropertiesFile=false enthält\&. Alternativ
können Sie eine Datei erstellen, die die außer Kraft gesetzten Werte für
\fIjdk\&.tls\&.disabledAlgorithms\fP, \fIjdk\&.certpath\&.disabledAlgorithms\fP
enthält und den Ort der Datei an Java auf der Befehlszeile mittels
\-Djava\&.security\&.properties= übergeben\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Anwendungen, die libkrb5 verwenden: Es wird keine besondere Behandlung
benötigt\&. Anwendungen werden standardmäßig der Krypto\-Richtlinie
folgen\&. Diese Anwendungen erben dann die erlaubten Verschlüsselungstypen
für Tickets sowie die kryptographischen Schlüsselbeschränkungen für das
PKINIT\-Protokoll\&. Systemweit kann die Verwendung der Richtlinie vermieden
werden, indem der Link /etc/krb5\&.conf\&.d/crypto\-policies gelöscht wird\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
BIND: Diese Anwendung erbt die Menge der ausgeschlossenen Algorithmen\&. Um
die Verwendung der Richtlinie zu vermeiden, entfernen Sie die Direktive zum
Einschluss der Richtlinie in der Datei named\&.conf\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
OpenSSH: Sowohl Server\- als auch Client\-Anwendung folgt den
Chiffren\-Voreinstellungen, den Schlüsselaustauschalgorithmen sowie den
GSSAPI\-Schlüsselaustauschalgorithmen\&. Um für einen Client die Verwendung
der Richtlinie zu vermeiden, setzen Sie die globale ssh_config mit einer
benutzerspezifischen Konfiguration in ~/\&.ssh/config außer Kraft\&. Siehe
\fBssh_config\fP(5) für weitere Informationen\&. Um die Verwendung der
Richtlinie für einen Server zu vermeiden, entfernen Sie den Kommentar in der
Zeile, die CRYPTO_POLICY= enthält, in der Datei /etc/sysconfig/sshd\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Libreswan: Sowohl Server als auch Client erben die ESP\- und
IKE\-Voreinstellung, falls sie nicht in der Konfigurationsdatei der
Verbindung außer Kraft gesetzt sind\&. Beachten Sie, dass die
Krypto\-Richtlinien aufgrund von Einschränkungen von Libreswan auf die
Unterstützung von IKEv2 beschränkt ist\&. Um die Verwendung der Richtlinie
zu vermeiden, fügen Sie einen Kommentar in Zeile, die
/etc/crypto\-policies/back\-ends/libreswan\&.config in /etc/ipsec\&.conf
einbindet, ein\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Anwendungen, die libssh verwenden: Sowohl Server\- als auch
Client\-Anwendungen, die libssh verwenden, werden standardmäßig die
Krypto\-Richtlinien laden\&. Sie erben die Voreinstellungen für die Chiffren,
den Schlüsselaustausch, die Nachrichtenauthentifizierung und die
Signaturalgorithmen\&.
.RE
.SH RICHTLINIENKONFIGURATION
.sp
Eine der unterstützten Profile sollte in /etc/crypto\-policies/config gesetzt
werden und anschließend sollte dieses Skript ausgeführt werden\&.
.sp
Falls beim Auswerten Fehler auftreten, werden keine Richtlinien
aktualisiert\&.
.SH "ANGEPASSTE RICHTLINIEN"
.sp
Die angepassten Richtlinien können zwei Formen annehmen. Die erste Form ist
eine vollständig angepasste Richtliniendatei, die vom Werkzeug
»update\-crypto\-policies« genauso wie die im Paket ausgelieferten Richtlinien
unterstützt wird\&.
.sp
Die zweite Form kann eine untergeordnete Richtlinie oder ein
Richtlinienanpasser genannt werden\&. Diese Form verändert Aspekte der
zugrundeliegenden Richtlinie, indem Algorithmen oder Protokolle entfernt
oder hinzugefügt werden\&. Die untergeordnete Richtlinie kann bei der
Befehlszeile »update\-crypto\-policies \-\-set« an die zugrundeliegende
Richtlinie angehängt werden, indem sie durch das »:«\-Zeichen abgetrennt
wird\&. Es können mehrere untergeordnete Richtlinien angehängt werden\&.
.sp
Nehmen wir an, Sie haben eine untergeordnete Richtlinie NO\-SHA1, die die
Unterstützung für SHA1\-Hashes entfernt und die untergeordnete Richtlinie
GOST, die Unterstützung für verschiedene Algorithmen aktiviert, die im
russischen GOST\-Standard definiert sind\&. Sie können die Richtlinie
»DEFAULT« mit deaktivierter SHA1\-Unterstützung und aktiviertem GOST durch
Ausführung folgenden Befehls setzen:
.sp
update\-crypto\-policies \-\-set DEFAULT:NO\-SHA1:GOST
.sp
Dieser Befehl erstellt die Konfiguration, die die Anpassung der Richtlinie
DEFAULT mit den in untergeordneten NO\-SHA1\- und GOST\-Richtlinien
festgelegten Änderungen ist, und wendet diese an\&.
.SH DATEIEN
.PP
/etc/crypto\-policies/config
.RS 4
Diese Datei enthält die aktuelle Systemrichtlinie\&. Sie sollte eine
Zeichenkette enthalten, die eine der in der Seite \fBcrypto\-policies\fP(7)
aufgeführten Profile ist (z\&.B\&. DEFAULT)\&.
.RE
.PP
/etc/crypto\-policies/back\-ends
.RS 4
Enthält die erstellten Richtlinien in getrennten Dateien und in einem
Format, das von den unterstützten Backends verstanden wird\&.
.RE
.PP
/etc/crypto\-policies/local\&.d
.RS 4
Enthält zusätzliche Dateien, die an die erstellten Richtliniendateien
angehängt werden sollen\&. Die vorhandenen Dateien müssen der
$app\-XXX\&.config\-Dateibenennung folgen, wobei XXX ein beliebiger
Kennzeichner ist\&. Um beispielsweise eine Zeile an die von GnuTLS erstellte
Richtlinie anzuhängen, erstellen Sie eine Datei gnutls\-extra\-line\&.config
in local\&.d\&. Diese wird an die erstellte gnutls\&.config während der
Ausführung von update\-crypto\-policies angehängt\&. Diese Außerkraftsetzungen
funktionieren nur für die Backends gnutls, bind, java (openjdk) und krb5\&.
.RE
.SH "SIEHE AUCH"
.sp
crypto\-policies(7), fips\-mode\-setup(8)
.SH AUTOR
.sp
Geschrieben von Nikos Mavrogiannopoulos\&.
.PP
.SH ÜBERSETZUNG
Die deutsche Übersetzung dieser Handbuchseite wurde von
Helge Kreutzmann
erstellt.
.PP
Diese Übersetzung ist Freie Dokumentation; lesen Sie die
.UR https://www.gnu.org/licenses/gpl-3.0.html
GNU General Public License Version 3
.UE
oder neuer bezüglich der
Copyright-Bedingungen. Es wird KEINE HAFTUNG übernommen.
.PP
Wenn Sie Fehler in der Übersetzung dieser Handbuchseite finden,
schicken Sie bitte eine E-Mail an die
.MT debian-l10n-german@lists.debian.org
Mailingliste der Übersetzer
.ME .