So aktivieren Sie den FIPS-Modus auf SUSE Linux Enterprise Server 15

Verwenden Sie auf SUSE Linux Enterprise Server 15 den SUSE- fips-mode-setupWorkflow, um die FIPS-Kryptorichtlinie und die Boot-Einstellungen zu konfigurieren. Starten Sie anschließend das System neu und überprüfen Sie das Ergebnis. Ein einzelnes Kernel-Flag reicht nicht als Nachweis der Konformität aus: Der FIPS-Modus ist nur ein Teil einer konformen Bereitstellung. Die validierten kryptografischen Module und Paketversionen müssen den Anforderungen Ihres Systems entsprechen.

Dieses Verfahren orientiert sich am SUSE Security and Hardening Guide für SLES 15 SP7, der aktuellen SLES 15 Service Pack-Dokumentation vom 6. Oktober 2026. Paketverfügbarkeit und Zertifizierungsstatus können je nach Service Pack, Architektur, Repository und Supportvertrag variieren.

Kurzübersicht

Bevor Sie den FIPS-Modus aktivieren

FIPS 140 validiert kryptografische Module und deren zugelassene Konfigurationen; es handelt sich nicht um eine allgemeine Sicherheitsbewertung für einen gesamten Server. Prüfen Sie, welches SLES Service Pack, welche Architektur, welche kryptografischen Module und welche Anwendungen Ihre Zertifizierungsstelle genau vorschreibt. Im SUSE-Leitfaden zu SLES 15 SP7 heißt es, dass SP7 nicht für die NIST FIPS 140-3-Zertifizierung eingereicht wird. Der Leitfaden weist außerdem darauf hin, dass die Zertifizierung bestimmte Binärdateien und Versionen umfassen kann. Daher bedeutet die Aktivierung des Modus in SP7 nicht, dass das Betriebssystem oder jede Anwendung FIPS 140-3-zertifiziert ist. Prüfen Sie die aktuellen Zertifizierungsinformationen von SUSE und die Anforderungen Ihres Prüfers, bevor Sie einen Konformitätsanspruch geltend machen.

SUSE empfiehlt, FIPS nur dann zu aktivieren, wenn dies aufgrund von Compliance-Vorgaben erforderlich ist. FIPS-Beschränkungen können ältere Algorithmen ablehnen oder dazu führen, dass Anwendungen und Integrationen nicht mehr funktionieren; auch Updates können die Funktionalität beeinträchtigen. Testen Sie zunächst ein repräsentatives System. Planen Sie Ausfallzeiten ein, stellen Sie sicher, dass Sie über Konsolen- oder Out-of-Band-Zugriff verfügen, überprüfen Sie ein aktuelles Backup und dokumentieren Sie einen Wiederherstellungsplan. Wenn sich der Server an einem entfernten Standort befindet, vergewissern Sie sich, dass Sie auf dessen Boot-Konsole zugreifen können, bevor Sie die Boot-Konfiguration ändern.

Aktivieren Sie den FIPS-Modus auf einem installierten SLES 15-System

1. Service Pack und Repositories bestätigen

Notieren Sie die Plattformdetails und überprüfen Sie, ob der Server die unterstützten SUSE-Repositories erreichen kann:

cat /etc/os-release
uname -m
sudo zypper refresh

Prüfen Sie, ob die Repository-Konfiguration mit dem registrierten SLES-Produkt und Service Pack übereinstimmt. Fügen Sie kein fremdes Repository hinzu, um ein ähnlich benanntes Paket zu erhalten; die Zertifizierung hängt von den korrekten Anbieterpaketen, Versionen und Konfigurationen ab.

2. Installieren Sie bei Bedarf das FIPS-Muster und das Setup-Dienstprogramm.

SUSE empfiehlt, das patterns-base-fipsMuster bei einer Neuinstallation zu installieren. Auf einem bestehenden Server sollten Sie das Muster und die Paketänderungen überprüfen, bevor Sie die Transaktion bestätigen. Der bereitgestellte Befehl fips-mode-setupist crypto-policies-scriptsmöglicherweise nicht standardmäßig installiert. Aktivieren Sie die entsprechenden SLES-Repositories und installieren Sie die erforderlichen Komponenten, falls diese fehlen.

sudo zypper install patterns-base-fips crypto-policies-scripts

Wenn Ihr Service Pack das FIPS-Muster über YaST Software bereitstellt, können Sie es dort auswählen und das Installationspaket aus dem unterstützten Repository installieren. Überprüfen Sie die von zypper vorgeschlagenen Abhängigkeitsänderungen; brechen Sie die Installation ab, falls dadurch erforderliche Pakete entfernt oder das System auf nicht unterstützte Quellen umgestellt würde.

3. FIPS-Konfiguration aktivieren

Führen Sie den von SUSE bereitgestellten Befehl als Root aus sudo:

sudo fips-mode-setup --enable

Das Dienstprogramm konfiguriert die Systemrichtlinien und Starteinstellungen. Das dokumentierte Beispiel von SUSE meldet, dass die Systemrichtlinie auf FIPS gesetzt wird und ein Neustart erforderlich ist. Falls der Befehl meldet, dass das Dienstprogramm fehlt, installieren oder reparieren Sie es crypto-policies-scriptsaus dem entsprechenden Produkt-Repository, anstatt verschiedene Krypto-Richtliniendateien manuell zu bearbeiten.

In Umgebungen mit Änderungsmanagement, in denen die Bootloader-Konfiguration separat verwaltet wird, unterstützt das Dienstprogramm die Option `--bootloader` --no-bootcfg. Diese Option gibt die hinzuzufügenden Bootparameter aus, anstatt den Bootloader neu zu konfigurieren. Befolgen Sie die Ausgabe und die Bootloader-Prozedur Ihrer Plattform. SUSE weist auf eine Ausnahme für IBM Z hin: Der Befehl wird weiterhin ausgeführt, ziplda ein Weglassen das System unbrauchbar machen könnte.

4. Neustart und Überprüfung

Neustart im Wartungsfenster:

sudo reboot

Nachdem der Server wieder online ist, überprüfen Sie den vollständigen Status:

sudo fips-mode-setup --check

Unter SLES 15 SP7 bestätigt die Beispielausgabe von SUSE, dass der FIPS-Modus aktiviert ist, das initramfs-FIPS-Modul aktiviert ist und die aktuelle Kryptorichtlinie auf der FIPS-Richtlinie basiert. Sie können auch den Kernel-Indikator überprüfen:

cat /proc/sys/crypto/fips_enabled

Ein Wert von 0 1bedeutet, dass das Kernel-FIPS-Flag aktiviert ist. Dies ist als zusätzliche Diagnose zu verstehen und ersetzt nicht die fips-mode-setup --checkÜberprüfung der validierten Module und der Anwendungskonfiguration. Ein Dienst kann über eine eigene kryptografische Bibliothek, Richtlinien oder Compliance-Anforderungen verfügen.

Anwendungen und Integrationen prüfen

Führen Sie Funktionstests durch, die die tatsächliche Rolle des Systems widerspiegeln. Testen Sie TLS-Verbindungen zu erforderlichen Peers, SSH-Zugriff mit zugelassenen Algorithmen, Zertifikatsoperationen, geplante Jobs, Backups, Verzeichnisauthentifizierung sowie jegliche Datenbank- oder Anwendungskryptografie. Überprüfen Sie Anwendungsprotokolle auf Fehler, die auf einen nicht verfügbaren Algorithmus oder eine fehlende Schlüssellänge hinweisen. Aktualisieren Sie Clients oder Integrationen, die auf nicht zulässige Kryptografie angewiesen sind, gemäß dem entsprechenden Konfigurationsprozess.

Samba/CIFS ist ein bekannter Aspekt im SUSE-Leitfaden: In einem FIPS-konformen Netzwerk sollte die Kerberos-Authentifizierung verwendet werden. Der Leitfaden erklärt, dass andere Samba-Authentifizierungsmodi MD5 umfassen, welches jedoch gemäß den FIPS-Regeln nicht unterstützt wird. Klären Sie den Authentifizierungspfad mit Ihren Verzeichnis- und Speicheradministratoren, bevor Sie die Produktionssysteme umstellen.

Fehlerbehebung an Kontrollpunkten

• Der Befehl wurde nicht gefunden: Installieren Sie crypto-policies-scriptsaus den registrierten SLES-Repositories und versuchen Sie es dann erneut.
• Die Überprüfung meldet einen inkonsistenten Zustand: Überprüfen Sie gemeinsam die Boot-Befehlszeile, den Initramfs-Status und die Kryptorichtlinie. Verlassen Sie sich nicht allein auf diese Informationen /proc/sys/crypto/fips_enabled.
• Das System startet nicht ordnungsgemäß: Verwenden Sie die Konsole oder Ihre dokumentierte Wiederherstellungsmethode, um die vorherige Startkonfiguration wiederherzustellen. Beachten Sie die Hinweise zum Support des jeweiligen Service Packs, bevor Sie manuelle Kernelparameter verwenden.
• Eine Anwendung stellt die Verbindung ein: Ermitteln Sie das abgelehnte Protokoll, den Algorithmus, die Schlüssellänge oder die Bibliothek. Aktualisieren Sie den Peer oder die Anwendung auf eine genehmigte Konfiguration; schwächen Sie die Systemrichtlinie nicht ab, um den Fehler ohne Genehmigung der Compliance-Abteilung zu unterdrücken.

FIPS-Modus deaktivieren, wenn sich die Anforderungen ändern

Falls Sie ein Rollback durchführen müssen, dokumentiert SUSE diesen Befehl:

sudo fips-mode-setup --disable

Starten Sie das System anschließend neu und sudo fips-mode-setup --checküberprüfen Sie den resultierenden Zustand. Durch Deaktivieren des FIPS-Modus werden nicht automatisch alle während einer Migration vorgenommenen Änderungen an Anwendungen, Schlüsseln oder Konfigurationen rückgängig gemacht. Überprüfen Sie diese separat und dokumentieren Sie den endgültigen Systemzustand.

Checkliste für die praktische Fertigstellung

• Das SLES-Servicepaket und die Architektur werden erfasst, und ihr Zertifizierungsstatus entspricht den tatsächlichen Konformitätsanforderungen.
• Das FIPS-Muster und das Setup-Dienstprogramm stammen aus den unterstützten Repositories für dieses Produkt.
• fips-mode-setup --enableNach Abschluss des Vorgangs wurde der Server neu gestartet und fips-mode-setup --checkmeldet, dass die erwarteten Komponenten aktiv sind.
• Anwendungs-, Netzwerk-, SSH-, Backup- und Authentifizierungstests wurden mit den genehmigten Algorithmen bestanden.
• Die genauen validierten Module, Binärdateien, Paketversionen und Betriebsnachweise wurden mit dem Compliance-Verantwortlichen überprüft.

Offizielle Referenzen

• SUSE SLES 15 SP7 Sicherheits- und Härtungsleitfaden: Ermöglichung der Einhaltung von FIPS 140-3
• SUSE SLES 15 SP5 Sicherheits- und Härtungsleitfaden: FIPS-Status und Einrichtung
• SUSE SLES 15 GA Versionshinweise: libica FIPS 140-2 Modus und der fips=1Parameter
• SUSE-Sicherheitszertifizierungen und validierte Produkte
• NIST-Programm zur Validierung kryptografischer Module