Comment activer le mode FIPS sur SUSE Linux Enterprise Server 15

Sur SUSE Linux Enterprise Server 15, utilisez la procédure SUSE fips-mode-setuppour configurer la politique de chiffrement FIPS et les paramètres de démarrage, puis redémarrez et vérifiez le résultat. Ne considérez pas un seul paramètre du noyau comme une preuve de conformité : le mode FIPS ne représente qu’une partie d’un déploiement conforme, et les modules cryptographiques validés ainsi que les versions des paquets doivent correspondre aux exigences applicables à votre système.

Cette procédure suit le guide de sécurité et de renforcement SUSE pour SLES 15 SP7, la documentation actuelle du pack de services SLES 15 révisée le 6 octobre 2026. La disponibilité des packages et l'état de certification peuvent varier selon le pack de services, l'architecture, le dépôt et le contrat de support.

Guide de référence rapide

Avant d'activer le mode FIPS

La norme FIPS 140 valide les modules cryptographiques et leurs configurations approuvées ; elle ne constitue pas une évaluation de sécurité globale pour un serveur entier. Vérifiez la version exacte de SLES (Service Pack, architecture, modules cryptographiques et applications) requise par votre organisme de conformité. Le guide SUSE pour SLES 15 SP7 indique que cette version ne sera pas soumise à la certification NIST FIPS 140-3. Ce guide précise également que la certification peut concerner des binaires et des versions spécifiques. Par conséquent, l'activation du mode FIPS 140-3 sur SP7 ne garantit pas la certification du système d'exploitation ni de toutes les applications. Consultez les informations de certification actuelles de SUSE et les exigences de votre évaluateur avant de faire une déclaration de conformité.

SUSE recommande d'activer FIPS uniquement lorsqu'une règle de conformité l'exige. Les restrictions FIPS peuvent rejeter les algorithmes anciens ou entraîner l'arrêt des applications et des intégrations ; les mises à jour peuvent également affecter leur fonctionnement. Testez d'abord sur un système représentatif. Planifiez une interruption de service, assurez-vous de disposer d'un accès console ou hors bande, vérifiez l'existence d'une sauvegarde récente et documentez une procédure de restauration. Si le serveur est distant, vérifiez que vous pouvez accéder à sa console de démarrage avant de modifier la configuration de démarrage.

Activez le mode FIPS sur un système SLES 15 installé.

1. Confirmez le pack de services et les référentiels

Consignez les détails de la plateforme et vérifiez que le serveur peut accéder à ses dépôts SUSE pris en charge :

cat /etc/os-release
uname -m
sudo zypper refresh

Vérifiez que la configuration du dépôt correspond au produit SLES et au Service Pack enregistrés. N'ajoutez pas un dépôt non lié pour obtenir un package au nom similaire ; la certification dépend des packages, versions et configurations appropriés du fournisseur.

2. Installez le modèle FIPS et l'utilitaire de configuration si nécessaire.

SUSE recommande d'installer le patterns-base-fipsmodèle lors d'une nouvelle installation. Sur un serveur existant, vérifiez le modèle et les modifications apportées aux paquets avant de confirmer l'opération. La commande qui fournit cette information fips-mode-setupest fournie par SLES crypto-policies-scriptset peut ne pas être installée par défaut. Une fois les dépôts SLES appropriés activés, installez les composants requis s'ils sont manquants :

sudo zypper install patterns-base-fips crypto-policies-scripts

Si votre correctif prend en charge le modèle FIPS via YaST Software, vous pouvez le sélectionner et installer le package d'installation depuis le dépôt compatible. Examinez les modifications de dépendances proposées par zypper ; interrompez l'installation si elles suppriment des packages requis ou si le système utilise des sources non prises en charge.

3. Activer la configuration FIPS

Exécutez la commande fournie par SUSE en tant que root viasudo :

sudo fips-mode-setup --enable

Cet utilitaire configure la stratégie système et les paramètres de démarrage. L'exemple fourni par SUSE indique que la stratégie système est définie sur FIPS et demande un redémarrage. Si la commande signale que l'utilitaire est manquant, installez-le ou réparez-le crypto-policies-scriptsà partir du dépôt du produit approprié plutôt que de modifier manuellement les différents fichiers de stratégie de chiffrement.

Pour les environnements à gestion des modifications qui configurent le chargeur de démarrage séparément, l'utilitaire prend en charge --no-bootcfgcette option. Celle-ci affiche les paramètres de démarrage à ajouter au lieu de reconfigurer le chargeur de démarrage. Suivez les instructions affichées et la procédure de configuration du chargeur de démarrage de votre plateforme. SUSE signale une exception pour IBM Z : la commande tente tout de même de s'exécuter, ziplcar son omission pourrait rendre le système non amorçable.

4. Redémarrez et vérifiez

Redémarrez pendant la fenêtre de maintenance :

sudo reboot

Une fois le serveur de nouveau opérationnel, vérifiez l'état complet :

sudo fips-mode-setup --check

Sur SLES 15 SP7, l'exemple de sortie de SUSE confirme que le mode FIPS est activé, que le module FIPS de l'initramfs est activé et que la politique de chiffrement actuelle est basée sur la politique FIPS. Vous pouvez également consulter l'indicateur du noyau :

cat /proc/sys/crypto/fips_enabled

La valeur 0 1indique que l'indicateur FIPS du noyau est actif. Considérez cela comme un diagnostic supplémentaire, et non comme un substitut fips-mode-setup --checkou une vérification des modules validés et de la configuration de l'application. Un service peut avoir sa propre bibliothèque cryptographique, sa propre politique ou ses propres exigences de conformité.

Vérifier les applications et les intégrations

Effectuez des tests fonctionnels reflétant le rôle réel du système. Testez les connexions TLS aux homologues requis, l'accès SSH avec les algorithmes approuvés, les opérations sur les certificats, les tâches planifiées, les sauvegardes, l'authentification des annuaires et la cryptographie des bases de données et des applications. Consultez les journaux d'application pour détecter les erreurs indiquant l'indisponibilité d'un algorithme ou d'une taille de clé. Mettez à jour les clients ou les intégrations qui dépendent d'une cryptographie non autorisée via leur procédure de configuration prévue à cet effet.

Samba/CIFS est un point important à prendre en compte dans le guide SUSE : sur un réseau conforme à la norme FIPS, utilisez l’authentification Kerberos. Le guide explique que d’autres modes d’authentification Samba, comme MD5, ne sont pas conformes aux normes FIPS. Avant de migrer vers des systèmes de production, vérifiez la méthode d’authentification auprès de vos administrateurs d’annuaire et de stockage.

Points de contrôle de dépannage

• La commande est introuvable : installez-la crypto-policies-scriptsà partir des dépôts SLES enregistrés, puis réessayez.
• Le contrôle signale un état incohérent : examinez conjointement la ligne de commande de démarrage, l’état d’initramfs et la politique de chiffrement. Ne vous fiez pas uniquement à ces informations /proc/sys/crypto/fips_enabled.
• Le système ne démarre pas correctement : utilisez la console ou votre méthode de récupération documentée et restaurez la configuration de démarrage précédente. Consultez les instructions d’assistance spécifiques à votre Service Pack avant de modifier manuellement les paramètres du noyau.
• Une application cesse de se connecter : identifiez le protocole, l’algorithme, la taille de clé ou la bibliothèque rejetés. Mettez à jour le périphérique ou l’application vers une configuration approuvée ; n’assouplissez pas la politique système pour masquer l’erreur sans autorisation de conformité.

Désactivez le mode FIPS lorsque les exigences changent.

Si vous devez annuler une modification, SUSE documente cette commande :

sudo fips-mode-setup --disable

Redémarrez ensuite, puis exécutez la commande sudo fips-mode-setup --checkpour confirmer l'état obtenu. La désactivation du mode FIPS n'annule pas automatiquement toutes les modifications d'applications, de touches ou de configurations effectuées lors d'une migration. Examinez-les séparément et documentez l'état final du système.

Liste de vérification pratique pour l'achèvement

• Le pack de services SLES et l'architecture sont enregistrés, et leur statut de certification correspond aux exigences de conformité réelles.
• Le modèle FIPS et l'utilitaire de configuration proviennent des référentiels pris en charge pour ce produit.
• fips-mode-setup --enableL'opération terminée, le serveur a redémarré et fips-mode-setup --checkindique que les composants attendus sont actifs.
• Les tests d'application, de réseau, de SSH, de sauvegarde et d'authentification ont été réussis avec les algorithmes approuvés.
• Les modules validés, les binaires, les versions des paquets et les preuves opérationnelles exactes ont été examinés avec le responsable de la conformité.

Références officielles

• Guide de sécurité et de renforcement de SUSE SLES 15 SP7 : Assurer la conformité à la norme FIPS 140-3
• Guide de sécurité et de renforcement de SUSE SLES 15 SP5 : statut et configuration FIPS
• Notes de version de SUSE SLES 15 GA : mode libica FIPS 140-2 et le fips=1paramètre
• Certifications de sécurité SUSE et produits validés
• Programme de validation des modules cryptographiques du NIST