Come abilitare la modalità FIPS su SUSE Linux Enterprise Server 15

Su SUSE Linux Enterprise Server 15, utilizzare il flusso di lavoro di SUSE fips-mode-setupper configurare la policy crittografica FIPS e le impostazioni di avvio, quindi riavviare e verificare il risultato. Non considerare un singolo flag del kernel come prova di conformità: la modalità FIPS è solo una parte di una distribuzione conforme e i moduli crittografici e le versioni dei pacchetti convalidati devono corrispondere ai requisiti applicabili al sistema.

Questa procedura segue la Guida alla sicurezza e all'hardening di SUSE per SLES 15 SP7, la documentazione corrente del service pack di SLES 15, rivista il 6 ottobre 2026. La disponibilità dei pacchetti e lo stato di certificazione possono variare a seconda del service pack, dell'architettura, del repository e del contratto di supporto.

Riferimento rapido

Prima di abilitare la modalità FIPS

Lo standard FIPS 140 convalida i moduli crittografici e le relative configurazioni approvate; non si tratta di una valutazione di sicurezza generale per l'intero server. Verificate l'esatto Service Pack, l'architettura, i moduli crittografici e le applicazioni di SLES richiesti dall'ente di certificazione. La guida di SUSE per SLES 15 SP7 afferma che SP7 non verrà sottoposto alla certificazione NIST FIPS 140-3. La guida precisa inoltre che la certificazione può riguardare specifici binari e versioni. Pertanto, l'attivazione della modalità su SP7 non garantisce che il sistema operativo o ogni singola applicazione siano certificati FIPS 140-3. Prima di presentare una dichiarazione di conformità, verificate le informazioni di certificazione aggiornate di SUSE e i requisiti del vostro ente di valutazione.

SUSE consiglia di abilitare FIPS solo quando richiesto da una norma di conformità. Le restrizioni FIPS possono rifiutare algoritmi meno recenti o causare l'arresto anomalo di applicazioni e integrazioni; anche gli aggiornamenti possono influire sulla funzionalità. Testare prima un sistema rappresentativo. Pianificare un periodo di inattività, assicurarsi di avere accesso alla console o tramite connessione out-of-band, verificare la presenza di un backup aggiornato e documentare una procedura di ripristino. Se il server è remoto, verificare di poter accedere alla console di avvio prima di modificare la configurazione di avvio.

Abilitare la modalità FIPS su un sistema SLES 15 installato

1. Conferma il service pack e i repository

Annota i dettagli della piattaforma e verifica che il server possa raggiungere i repository SUSE supportati:

cat /etc/os-release
uname -m
sudo zypper refresh

Verifica che la configurazione del repository corrisponda al prodotto SLES e al service pack registrati. Non aggiungere un repository non correlato per ottenere un pacchetto con un nome simile; la certificazione dipende dai pacchetti, dalle versioni e dalla configurazione corretti del fornitore.

2. Installare il pattern FIPS e l'utility di configurazione, se necessario.

SUSE consiglia di installare il patterns-base-fipspattern su una nuova installazione. Su un server esistente, rivedere il pattern e le modifiche al pacchetto prima di confermare la transazione. Il comando fornito fips-mode-setupè incluso crypto-policies-scriptse potrebbe non essere installato per impostazione predefinita. Con i repository SLES corretti abilitati, installare i componenti richiesti se mancanti:

sudo zypper install patterns-base-fips crypto-policies-scripts

Se il tuo service pack presenta il pattern FIPS tramite YaST Software, puoi selezionarlo lì e installare il pacchetto di installazione dal repository supportato. Esamina le modifiche alle dipendenze proposte da zypper; interrompi l'installazione se queste dovessero rimuovere pacchetti necessari o passare a sorgenti non supportate.

3. Abilitare la configurazione FIPS

Eseguire il comando fornito da SUSE come root tramite sudo:

sudo fips-mode-setup --enable

L'utility configura i criteri di sistema e le impostazioni di avvio. L'esempio documentato da SUSE indica che i criteri di sistema vengono impostati su FIPS e richiede un riavvio. Se il comando segnala che l'utility non è presente, installarla o ripararla crypto-policies-scriptsdal repository del prodotto corretto anziché modificare manualmente i vari file crypto-policy.

Per gli ambienti con controllo delle modifiche che gestiscono la configurazione del bootloader separatamente, l'utilità supporta --no-bootcfg. Questa opzione stampa i parametri di avvio che devono essere aggiunti invece di riconfigurare il bootloader. Segui l'output e la procedura del bootloader della tua piattaforma. SUSE segnala un'eccezione per IBM Z: il comando tenta comunque di essere eseguito ziplperché ometterlo potrebbe rendere il sistema non avviabile.

4. Riavvia e verifica

Riavviare durante la finestra di manutenzione:

sudo reboot

Dopo il riavvio del server, verifica lo stato completo:

sudo fips-mode-setup --check

Su SLES 15 SP7, l'output di esempio di SUSE conferma che la modalità FIPS è abilitata, il modulo initramfs FIPS è abilitato e la policy crittografica corrente è basata sulla policy FIPS. È possibile anche esaminare l'indicatore del kernel:

cat /proc/sys/crypto/fips_enabled

Un valore di 1indica che il flag FIPS del kernel è attivo. Consideralo come una diagnostica aggiuntiva, non come un sostituto fips-mode-setup --checko una revisione dei moduli convalidati e della configurazione dell'applicazione. Un servizio potrebbe avere una propria libreria crittografica, policy o requisiti di conformità.

Verifica applicazioni e integrazioni

Eseguire test funzionali che riflettano il ruolo effettivo del sistema. Testare le connessioni TLS ai peer richiesti, l'accesso SSH con algoritmi approvati, le operazioni sui certificati, i processi pianificati, i backup, l'autenticazione delle directory e qualsiasi crittografia di database o applicazione. Esaminare i log delle applicazioni per individuare errori che indichino l'indisponibilità di un algoritmo o di una dimensione della chiave. Aggiornare i client o le integrazioni che dipendono da crittografia non consentita tramite la procedura di configurazione supportata.

Samba/CIFS è un aspetto noto e considerato nella guida di SUSE: in una rete conforme a FIPS, utilizzare l'autenticazione Kerberos. La guida spiega che altre modalità di autenticazione Samba includono MD5, che non è supportato per l'autenticazione secondo le regole FIPS. Confermare il percorso di autenticazione con gli amministratori di directory e storage prima di passare ai sistemi di produzione.

Punti di controllo per la risoluzione dei problemi

• Il comando non è stato trovato: installa crypto-policies-scriptsdai repository SLES registrati, quindi riprova.
• Il controllo segnala uno stato incoerente: rivedere insieme la riga di comando di avvio, lo stato di initramfs e la policy crittografica. Non fare affidamento solo su /proc/sys/crypto/fips_enabled.
• Il sistema non si avvia correttamente: utilizzare la console o il metodo di ripristino documentato per ripristinare la configurazione di avvio precedente. Consultare la guida di supporto specifica per il Service Pack prima di tentare di impostare manualmente i parametri del kernel.
• Un'applicazione smette di connettersi: identificare il protocollo, l'algoritmo, la dimensione della chiave o la libreria rifiutati. Aggiornare il peer o l'applicazione a una configurazione approvata; non indebolire i criteri di sistema per silenziare l'errore senza l'approvazione della conformità.

Disattiva la modalità FIPS quando i requisiti cambiano

Se è necessario ripristinare una versione precedente, SUSE documenta questo comando:

sudo fips-mode-setup --disable

Riavvia il sistema e poi esegui il comando sudo fips-mode-setup --checkper confermare lo stato risultante. La disabilitazione della modalità FIPS non annulla automaticamente tutte le modifiche apportate ad applicazioni, chiavi o configurazioni durante una migrazione. Esaminale separatamente e documenta lo stato finale del sistema.

Lista di controllo per il completamento pratico

• Il service pack e l'architettura di SLES sono documentati e il loro stato di certificazione corrisponde ai requisiti di conformità effettivi.
• Il modello FIPS e l'utility di configurazione provengono dai repository supportati per quel prodotto.
• fips-mode-setup --enableCompletata l'operazione, il server è stato riavviato e fips-mode-setup --checksegnala che i componenti previsti sono attivi.
• Test di applicazione, rete, SSH, backup e autenticazione superati con gli algoritmi approvati.
• I moduli, i file binari, le versioni dei pacchetti e le prove operative validate sono stati esaminati con il responsabile della conformità.

Riferimenti ufficiali

• Guida alla sicurezza e alla protezione di SUSE SLES 15 SP7: Conformità allo standard FIPS 140-3
• Guida alla sicurezza e alla protezione di SUSE SLES 15 SP5: stato e configurazione di FIPS
• Note di rilascio SUSE SLES 15 GA: modalità libica FIPS 140-2 e il fips=1parametro
• Certificazioni di sicurezza SUSE e prodotti convalidati
• Programma di convalida dei moduli crittografici del NIST