Schakel de FIPS-modus in op SLES 15 en controleer de opstartstatus.

Als de FIPS-status ontbreekt, scheid dan de opstartinstelling van de compliance-instelling.

Een server kan melden dat de FIPS-modus is uitgeschakeld, zelfs als de eigenaar beveiligingsupdates heeft geïnstalleerd of een beveiligd profiel heeft geselecteerd. Op SUSE Linux Enterprise Server 15 SP7 is de door SUSE gedocumenteerde methode om de benodigde FIPS-ondersteuning voor het systeem te installeren, het commando uit te voeren fips-mode-setup --enable, de server opnieuw op te starten en de status te bevestigen met het commando fips-mode-setup --check. De instelling wijzigt het cryptografische beleid en de opstartconfiguratie van het systeem; het bewijst op zichzelf niet dat een workload of het gehele besturingssysteem voldoet aan een compliance-vereiste.

Illustratief voorbeeld: Stel je een fictief operationeel team voor dat een SLES 15 SP7-server voorbereidt voor een interne service die FIPS-goedgekeurde cryptografie vereist. Het team heeft een onderhoudsvenster en consoletoegang, maar weet nog niet of een oudere client een incompatibel algoritme gebruikt. Dat is een reden om de exacte vereisten te controleren en afhankelijkheden te testen voordat de productiehost wordt gewijzigd – geen bewijs van een daadwerkelijke implementatie of test.

1. Bevestig de vrijgave en de vereiste

Identificeer eerst het servicepack en de architectuur. De exacte opdrachten en pakketten kunnen verschillen tussen de SLES 15-servicepacks, dus kopieer geen SP7-procedure naar SP4, SP5 of SP6 zonder de SUSE-documentatie van die release te raadplegen.

cat /etc/os-release
uname -m

Voor de voorbeeldserver registreert het team de geïnstalleerde SLES-release, controleert het de wijzigingsperiode en bevestigt dat herstel mogelijk is via een console of een goedgekeurd pad voor beheer op afstand als een herstart mislukt. FIPS kan cryptografische algoritmen of protocollen weigeren die een applicatie nog steeds verwacht. Plan tijd in om de applicaties te controleren die TLS, SSH, bestandsdeling, Java, databases of andere cryptografische bibliotheken gebruiken.

Verduidelijk ook wat de beoordelaar precies vereist. FIPS 140-3-validatie is van toepassing op een cryptografische module in een gedefinieerde configuratie; het inschakelen van een besturingssysteemmodus is niet hetzelfde als het valideren van elke module, applicatie of implementatie. De SUSE SLES 15 SP7-handleiding vermeldt dat SP7 niet zal worden ingediend voor NIST FIPS 140-3-certificering. SUSE publiceert afzonderlijk informatie over gevalideerde modules en configuraties. Als een contract een specifieke gevalideerde module vereist, controleer dan de exacte module, versie, besturingsomgeving en het certificaat aan de hand van het certificeringsmateriaal van SUSE en het NIST CMVP-certificaatregister voordat u verdergaat.

2. Bereid de ondersteunde FIPS-componenten voor.

SUSE adviseert om het patterns-base-fipsinstallatiepatroon te selecteren voor een nieuwe installatie. Als u een werkend systeem wijzigt, waarschuwt SUSE dat er mogelijk aanvullende aanpassingen nodig zijn, zoals het opnieuw genereren van sleutels en het controleren van de installatie. Beschouw een bestaande host als een gecontroleerde wijziging, niet als een certificering met één commando.

Controleer of het installatieprogramma aanwezig is:

command -v fips-mode-setup
rpm -q crypto-policies-scripts

Het crypto-policies-scriptspakket fips-mode-setupis mogelijk niet geïnstalleerd. Als het ontbreekt, installeer het dan vanuit de geautoriseerde SLES-repository's van het systeem.

sudo zypper install crypto-policies-scripts

Als de toegang tot de repository, de beschikbaarheid van pakketten of de vereiste FIPS-pakketten onduidelijk zijn, stop dan en raadpleeg het ondersteuningskanaal en de certificeringsrichtlijnen voor uw specifieke servicepack. Vervang geen oude blogopdracht door een andere en voeg niet handmatig een kernelparameter toe die is gekopieerd uit een andere SLES-release. De huidige SP7-instructies van SUSE gebruiken het installatieprogramma om het beleid toe te passen en het opstartproces te configureren.

3. Schakel de FIPS-modus in en herstart het apparaat.

Zodra de host volgens het lokale beleid is geback-upt, de afhankelijkheden zijn gecontroleerd en het onderhoudsvenster actief is, schakelt u de volgende modus in:

sudo fips-mode-setup --enable

Bekijk de uitvoer van het hulpprogramma. SUSE documenteert dat het het FIPS-cryptografiebeleid instelt en meldt dat een herstart vereist is. De herstart maakt deel uit van de procedure omdat de initramfs en de opstartconfiguratie de nieuwe modus moeten weerspiegelen. Beschouw het feit dat de opdracht vóór de herstart succesvol is afgerond niet als bewijs dat de draaiende kernel al in FIPS-modus werkt.

Start de computer pas opnieuw op als u de impact op de service en de toegang tot het herstelproces hebt bevestigd:

sudo systemctl reboot

Voor het fictieve operationele team is de applicatie-eigenaar aanwezig tijdens het wijzigingsvenster en kan hij de overeengekomen rooktests uitvoeren nadat de server weer operationeel is. Als de server zich op afstand bevindt en er geen herstelpad bestaat, moet er eerst een worden ingesteld of de wijziging worden uitgesteld. FIPS-beperkingen kunnen niet-ondersteunde cryptografie blootleggen tijdens het opstarten of bij het starten van services.

4. Controleer de modus en vervolgens de werkbelasting.

Nadat het systeem volledig opnieuw is opgestart, voert u de statuscontrole van SUSE uit:

sudo fips-mode-setup --check

Voor een succesvolle SP7-configuratie geeft SUSE in de uitvoer aan dat de FIPS-modus is ingeschakeld, de initramfs FIPS-module is ingeschakeld en het huidige cryptografische beleid is gebaseerd op het FIPS-beleid. Vergelijk de daadwerkelijke uitvoer met de documentatie voor uw geïnstalleerde servicepack; vertrouw niet alleen op een configuratiebestand of op het feit dat de herstart is voltooid.

U kunt ook de inschakelstatus van het hulpprogramma opvragen:

sudo fips-mode-setup --is-enabled

SUSE beschrijft dit als een statuscontrole met een resultaat dat niet nul is wanneer FIPS is uitgeschakeld of wanneer de modus inconsistent is. Gebruik de exitstatus in automatisering in plaats van te zoeken in losjes opgemaakte uitvoer. Test vervolgens de services die relevant zijn voor de vereiste: authenticatie met de goedgekeurde SSH-methode, het maken van een TLS-verbinding met een representatief eindpunt en het uitvoeren van toepassingsspecifieke gezondheidscontroles. Het feit dat een service actief is, betekent niet dat deze een goedgekeurde cryptografische module of configuratie gebruikt.

Een voorbeeld van compatibiliteit in de SUSE-handleiding betreft Samba/CIFS: gebruik in een FIPS-omgeving Kerberos-authenticatie, omdat de andere Samba-authenticatiemethoden MD5 omvatten. Pas dit advies alleen toe als de host Samba-services levert of gebruikt; concentreer u anders op de protocollen en bibliotheken die daadwerkelijk relevant zijn.

5. Los problemen op zonder de vereisten te verzwakken.

Als --checker wordt gemeld dat FIPS niet is ingeschakeld, controleer dan de volledige uitvoer van de opdracht en bevestig dat de vereiste herstart heeft plaatsgevonden. Controleer de geïnstalleerde release en pakketset en raadpleeg vervolgens de bijbehorende SUSE-handleiding. Als de modus als ingeschakeld wordt gerapporteerd, maar een toepassing faalt, controleer dan de logboeken van die toepassing en identificeer het algoritme of de module die deze probeert te gebruiken. Vervang of herconfigureer de afhankelijkheid met een goedgekeurde optie, of vraag een gedocumenteerde uitzondering aan bij de compliance-verantwoordelijke.

Schakel niet terug naar een permissief cryptobeleid enkel om een ​​verouderde client te laten werken terwijl u beweert dat deze voldoet aan de FIPS-richtlijnen. Als terugdraaien noodzakelijk is, volg dan de incident- en goedkeuringsprocedure van de organisatie; raadpleeg de SUSE-documenten en sudo fips-mode-setup --disablevoer vervolgens een herstart uit om de modus te deactiveren. Controleer na elke terugdraaiing de nalevingsstatus opnieuw.

Voordat u de wijziging sluit, slaat u de servicepack-identificatie, pakketinformatie, opdrachtuitvoer, herstartrecord en toepassingstestresultaten op in het wijzigingsrecord van het systeem. In het voorbeeldscenario stelt dit bewijsmateriaal het team in staat om drie afzonderlijke feiten te onderscheiden: de host meldt dat de FIPS-modus is ingeschakeld, de beoogde services functioneren en de geselecteerde cryptografische modules voldoen aan de compliance-eisen. Alleen de verantwoordelijke beoordelaar kan bepalen of deze feiten voldoen aan de toepasselijke controle.

Raadpleeg voor de officiële procedure en releasespecifieke waarschuwingen de SUSE Linux Enterprise Server 15 SP7 Security and Hardening Guide , de SUSE FIPS-certificeringsinformatie en het relevante NIST Cryptographic Module Validation Program- document.