Włącz tryb FIPS w systemie SLES 15 i sprawdź stan rozruchu

W przypadku braku statusu FIPS należy oddzielić ustawienia rozruchu od zgodności

Serwer może zgłaszać, że tryb FIPS jest wyłączony, nawet jeśli jego właściciel zainstalował aktualizacje zabezpieczeń lub wybrał profil wzmocniony. W systemie SUSE Linux Enterprise Server 15 SP7 udokumentowana metoda SUSE polega na zainstalowaniu obsługi FIPS wymaganej dla systemu, uruchomieniu fips-mode-setup --enable, ponownym uruchomieniu i potwierdzeniu stanu za pomocą fips-mode-setup --check. To ustawienie zmienia politykę kryptograficzną systemu i konfigurację rozruchu; samo w sobie nie dowodzi, że obciążenie lub cały system operacyjny spełniają wymagania zgodności.

Przykład ilustrujący: Wyobraź sobie fikcyjny zespół operacyjny przygotowujący jeden serwer SLES 15 SP7 do obsługi usługi wewnętrznej, która wymaga kryptografii zatwierdzonej przez FIPS. Zespół ma okno konserwacyjne i dostęp do konsoli, ale nie wie jeszcze, czy starszy klient używa niekompatybilnego algorytmu. To powód, aby zweryfikować dokładne wymagania i przetestować zależności przed zmianą hosta produkcyjnego – a nie dowód rzeczywistego wdrożenia lub testu.

1. Potwierdź wydanie i wymóg

Najpierw zidentyfikuj pakiet serwisowy i architekturę. Dokładne polecenia i pakiety mogą się różnić w zależności od pakietu serwisowego SLES 15, dlatego nie kopiuj procedury SP7 do SP4, SP5 lub SP6 bez sprawdzenia dokumentacji SUSE dla danej wersji.

cat /etc/os-release
uname -m

W przypadku przykładowego serwera zespół rejestruje zainstalowaną wersję SLES, sprawdza jej okno zmian i potwierdza, że ​​można ją odzyskać za pomocą konsoli lub zatwierdzonej ścieżki zdalnego zarządzania w przypadku niepowodzenia ponownego uruchomienia. FIPS może odrzucać algorytmy kryptograficzne lub protokoły, których aplikacja nadal oczekuje. Zaplanuj czas na sprawdzenie aplikacji korzystających z protokołów TLS, SSH, udostępniania plików, Javy, baz danych lub innych bibliotek kryptograficznych.

Należy również wyjaśnić, czego tak naprawdę wymaga osoba przeprowadzająca ocenę. Walidacja FIPS 140-3 dotyczy modułu kryptograficznego w zdefiniowanej konfiguracji; włączenie trybu systemu operacyjnego nie jest tym samym, co walidacja każdego modułu, aplikacji lub wdrożenia. W podręczniku SUSE SLES 15 SP7 podano, że SP7 nie będzie podlegał certyfikacji NIST FIPS 140-3. SUSE publikuje oddzielnie informacje o walidowanych modułach i konfiguracjach. Jeśli umowa wymaga konkretnego walidowanego modułu, przed kontynuacją należy potwierdzić dokładny moduł, wersję, środowisko operacyjne i certyfikat w materiałach certyfikacyjnych SUSE oraz rekordzie certyfikatu NIST CMVP .

2. Przygotuj obsługiwane komponenty FIPS

Firma SUSE zaleca wybranie patterns-base-fipswzorca dla nowej instalacji. W przypadku zmiany działającego systemu, SUSE ostrzega, że ​​mogą być konieczne dodatkowe modyfikacje, w tym ponowne wygenerowanie kluczy i audyt konfiguracji. Traktuj istniejącego hosta jako kontrolowaną zmianę, a nie jako certyfikację opartą na jednym poleceniu.

Sprawdź, czy narzędzie instalacyjne jest obecne:

command -v fips-mode-setup
rpm -q crypto-policies-scripts

Pakiet crypto-policies-scriptsjest dostępny fips-mode-setupi może nie zostać zainstalowany. Jeśli go nie ma, zainstaluj go z autoryzowanych repozytoriów SLES w systemie:

sudo zypper install crypto-policies-scripts

Jeśli dostęp do repozytorium, dostępność pakietów lub wymagane pakiety FIPS są niejasne, należy przerwać i skorzystać z kanału wsparcia oraz wskazówek dotyczących certyfikacji dla konkretnego pakietu Service Pack. Nie należy zastępować starego polecenia w blogu ani ręcznie dodawać parametru jądra skopiowanego z innej wersji systemu SLES. Aktualne instrukcje systemu SUSE SP7 wykorzystują narzędzie Setup do zastosowania zasad i skonfigurowania procesu rozruchu.

3. Włącz tryb FIPS i uruchom ponownie

Po utworzeniu kopii zapasowej hosta zgodnie z lokalną polityką, sprawdzeniu zależności i aktywowaniu okna konserwacji włącz tryb:

sudo fips-mode-setup --enable

Przejrzyj dane wyjściowe narzędzia. SUSE dokumentuje, że ustawia zasady szyfrowania FIPS i zgłasza konieczność ponownego uruchomienia. Ponowne uruchomienie jest częścią procedury, ponieważ konfiguracja initramfs i rozruchu musi odzwierciedlać nowy tryb. Nie traktuj pomyślnego zwrócenia polecenia przed ponownym uruchomieniem jako dowodu, że jądro działa już w trybie FIPS.

Wykonaj ponowne uruchomienie dopiero po potwierdzeniu wpływu usługi i uzyskaniu dostępu do odzyskiwania:

sudo systemctl reboot

W przypadku fikcyjnego zespołu operacyjnego, właściciel aplikacji jest obecny w trakcie okna zmian i może przeprowadzić uzgodnione testy dymowe po powrocie serwera. Jeśli serwer jest zdalny i nie istnieje ścieżka odzyskiwania, należy ją najpierw utworzyć lub odłożyć zmianę. Ograniczenia FIPS mogą ujawnić nieobsługiwaną kryptografię podczas rozruchu lub uruchamiania usług.

4. Sprawdź tryb, a następnie sprawdź obciążenie

Po pełnym ponownym uruchomieniu systemu należy uruchomić sprawdzanie stanu systemu SUSE:

sudo fips-mode-setup --check

Aby konfiguracja SP7 przebiegła pomyślnie, dokumentacja SUSE informuje, że tryb FIPS jest włączony, moduł FIPS initramfs jest włączony, a bieżąca polityka szyfrowania jest oparta na polityce FIPS. Porównaj rzeczywiste dane wyjściowe z dokumentacją zainstalowanego dodatku Service Pack; nie polegaj wyłącznie na pliku konfiguracyjnym ani na fakcie, że restart się zakończył.

Można również sprawdzić stan włączenia narzędzia:

sudo fips-mode-setup --is-enabled

SUSE dokumentuje to jako sprawdzenie statusu z wynikiem niezerowym, gdy FIPS jest wyłączony lub gdy tryb jest niespójny. Użyj statusu wyjścia w automatyzacji zamiast przeszukiwać luźno sformatowane dane wyjściowe. Następnie przetestuj usługi istotne dla danego wymagania: uwierzytelnij się za pomocą zatwierdzonej metody SSH, nawiąż połączenie TLS z reprezentatywnym punktem końcowym i uruchom kontrole kondycji specyficzne dla aplikacji. Aktywność usługi nie oznacza, że ​​korzysta ona z zatwierdzonego modułu kryptograficznego lub konfiguracji.

Jeden z przykładów zgodności w przewodniku SUSE dotyczy Samba/CIFS: w środowisku FIPS należy używać uwierzytelniania Kerberos, ponieważ inne tryby uwierzytelniania Samba obejmują MD5. Stosuj się do tych wskazówek tylko wtedy, gdy host udostępnia lub korzysta z usług Samba; w przeciwnym razie skup się na protokołach i bibliotekach faktycznie objętych zakresem.

5. Rozwiązuj awarie bez osłabiania wymagań

Jeśli --checkpojawi się komunikat, że FIPS nie jest włączony, przejrzyj pełne dane wyjściowe polecenia i upewnij się, że nastąpiło wymagane ponowne uruchomienie. Sprawdź zainstalowaną wersję i zestaw pakietów, a następnie zapoznaj się z odpowiednim podręcznikiem SUSE. Jeśli tryb jest zgłaszany jako włączony, ale aplikacja nie działa, przejrzyj logi tej aplikacji i zidentyfikuj algorytm lub moduł, którego próbuje użyć. Zastąp lub zrekonfiguruj zależność, używając zatwierdzonej opcji, albo uzyskaj udokumentowany wyjątek od właściciela zgodności.

Nie należy powracać do liberalnej polityki kryptograficznej tylko po to, aby starszy klient działał, jednocześnie deklarując operację FIPS. W razie konieczności wycofania, należy skorzystać z procedury obsługi incydentów i zatwierdzania obowiązującej w organizacji; należy zapoznać się z dokumentami SUSE, sudo fips-mode-setup --disablea następnie ponownie uruchomić system, aby wyłączyć ten tryb. Po wycofaniu należy ponownie ocenić status zgodności.

Przed zamknięciem zmiany zapisz identyfikator pakietu serwisowego, informacje o pakiecie, dane wyjściowe polecenia, rekord restartu i wyniki testów aplikacji w rekordzie zmian systemu. W przedstawionym scenariuszu, te dane pozwalają zespołowi rozróżnić trzy odrębne fakty: host zgłasza włączony tryb FIPS, zamierzoną funkcję usług oraz wybrane moduły kryptograficzne spełniające wymagania zgodności. Tylko odpowiedzialny asesor może zdecydować, czy fakty te spełniają odpowiednie wymogi kontroli.

Aby zapoznać się z procedurą autorytatywną i zastrzeżeniami dotyczącymi konkretnych wydań, należy zapoznać się z dokumentem SUSE Linux Enterprise Server 15 SP7 Security and Hardening Guide , informacjami o certyfikacie SUSE FIPS oraz odpowiednim rekordem programu NIST Cryptographic Module Validation Program .