Hoe schakel ik de FIPS-modus in op SUSE Linux Enterprise Server 15?

Gebruik op SUSE Linux Enterprise Server 15 de workflow van SUSE fips-mode-setupom het FIPS-cryptografiebeleid en de opstartinstellingen te configureren, start de server opnieuw op en controleer het resultaat. Beschouw één enkele kernelvlag niet als bewijs van naleving: de FIPS-modus is slechts een onderdeel van een conforme implementatie, en de gevalideerde cryptografische modules en pakketversies moeten overeenkomen met de vereisten die van toepassing zijn op uw systeem.

Deze procedure volgt de SUSE Security and Hardening Guide for SLES 15 SP7, de meest recente documentatie voor het SLES 15-servicepack, herzien op 6 oktober 2026. De beschikbaarheid van pakketten en de certificeringsstatus kunnen variëren afhankelijk van het servicepack, de architectuur, de repository en het supportcontract.

Snel naslagwerk

Voordat u de FIPS-modus inschakelt

FIPS 140 valideert cryptografische modules en hun goedgekeurde configuraties; het is geen algemene beveiligingsclassificatie voor een complete server. Controleer het exacte SLES-servicepack, de architectuur, de cryptografische modules en de applicaties die uw certificeringsinstantie vereist. De SUSE SLES 15 SP7-handleiding vermeldt dat SP7 niet zal worden ingediend voor NIST FIPS 140-3-certificering. De handleiding merkt ook op dat certificering betrekking kan hebben op specifieke binaire bestanden en versies. Het inschakelen van de modus op SP7 garandeert dus niet dat het besturingssysteem of elke applicatie FIPS 140-3-gecertificeerd is. Controleer de actuele certificeringsinformatie van SUSE en de eisen van uw beoordelaar voordat u een claim indient voor naleving.

SUSE raadt aan FIPS alleen in te schakelen wanneer een compliance-regel dit vereist. FIPS-beperkingen kunnen oudere algoritmen afwijzen of ervoor zorgen dat applicaties en integraties niet meer werken; updates kunnen ook de functionaliteit beïnvloeden. Test eerst een representatief systeem. Plan downtime in, zorg voor console- of out-of-band-toegang, controleer of er een recente back-up is en documenteer een herstelroute. Als de server zich op afstand bevindt, controleer dan of u toegang hebt tot de opstartconsole voordat u de opstartconfiguratie wijzigt.

Schakel de FIPS-modus in op een geïnstalleerd SLES 15-systeem.

1. Controleer het servicepack en de repositories.

Noteer de platformgegevens en controleer of de server de ondersteunde SUSE-repositories kan bereiken:

cat /etc/os-release
uname -m
sudo zypper refresh

Controleer of de repositoryconfiguratie overeenkomt met het geregistreerde SLES-product en servicepack. Voeg geen niet-gerelateerde repository toe om een ​​pakket met een vergelijkbare naam te verkrijgen; certificering is afhankelijk van de juiste leverancierspakketten, versies en configuratie.

2. Installeer het FIPS-patroon en de configuratie-utility indien nodig.

SUSE raadt aan het patterns-base-fipspatroon te installeren bij een nieuwe installatie. Controleer op een bestaande server het patroon en de pakketwijzigingen voordat u de transactie bevestigt. De opdracht die dit patroon levert, fips-mode-setupwordt geleverd door SUSE crypto-policies-scriptsen is mogelijk niet standaard geïnstalleerd. Installeer de benodigde componenten indien deze ontbreken, nadat de juiste SLES-repositories zijn ingeschakeld.

sudo zypper install patterns-base-fips crypto-policies-scripts

Als uw servicepack het FIPS-patroon via YaST Software presenteert, kunt u dit daar selecteren en het installatiepakket installeren vanuit de ondersteunde repository. Bekijk de voorgestelde wijzigingen in de afhankelijkheden van zypper; stop als deze vereiste pakketten zouden verwijderen of het systeem zouden overschakelen naar niet-ondersteunde bronnen.

3. FIPS-configuratie inschakelen

Voer de door SUSE geleverde opdracht als root uit via sudo:

sudo fips-mode-setup --enable

Het hulpprogramma configureert het systeembeleid en de opstartinstellingen. Het door SUSE gedocumenteerde voorbeeld meldt dat het systeembeleid wordt ingesteld op FIPS en vraagt ​​om een ​​herstart. Als de opdracht meldt dat het hulpprogramma ontbreekt, installeer of herstel het dan crypto-policies-scriptsvanuit de juiste productrepository in plaats van handmatig diverse crypto-policy-bestanden te bewerken.

Voor omgevingen met wijzigingsbeheer die de bootloaderconfiguratie afzonderlijk beheren, ondersteunt het hulpprogramma de optie ` --no-bootcfg--boot-parameter`. Deze optie print de opstartparameters die moeten worden toegevoegd in plaats van de bootloader opnieuw te configureren. Volg de uitvoer en de bootloaderprocedure van uw platform. SUSE merkt een uitzondering op voor IBM Z: de opdracht wordt nog steeds uitgevoerd ziplomdat het weglaten ervan het systeem onbruikbaar zou kunnen maken.

4. Herstart en controleer

Herstarten tijdens het onderhoudsvenster:

sudo reboot

Controleer de volledige status nadat de server weer online is:

sudo fips-mode-setup --check

Op SLES 15 SP7 bevestigt de voorbeeldoutput van SUSE dat de FIPS-modus is ingeschakeld, de initramfs FIPS-module is ingeschakeld en het huidige cryptografische beleid is gebaseerd op het FIPS-beleid. U kunt ook de kernelindicator inspecteren:

cat /proc/sys/crypto/fips_enabled

Een waarde van 0 1geeft aan dat de FIPS-vlag van de kernel actief is. Beschouw dit als een aanvullende diagnose, niet als vervanging voor fips-mode-setup --checkof als een controle van de gevalideerde modules en applicatieconfiguratie. Een service kan een eigen cryptografische bibliotheek, beleid of nalevingsvereisten hebben.

Controleer applicaties en integraties

Voer functionele tests uit die de daadwerkelijke rol van het systeem weerspiegelen. Test TLS-verbindingen met vereiste peers, SSH-toegang met goedgekeurde algoritmen, certificaatbewerkingen, geplande taken, back-ups, directory-authenticatie en alle database- of applicatiecryptografie. Controleer applicatielogboeken op fouten die aangeven dat een algoritme of sleutelgrootte niet beschikbaar is. Werk clients of integraties die afhankelijk zijn van niet-toegestane cryptografie bij via hun ondersteunde configuratieproces.

Samba/CIFS is een bekend aandachtspunt in de SUSE-handleiding: gebruik Kerberos-authenticatie in een FIPS-compatibel netwerk. De handleiding legt uit dat andere Samba-authenticatiemethoden, zoals MD5, niet worden ondersteund voor authenticatie volgens de FIPS-regels. Bevestig het authenticatiepad met uw directory- en opslagbeheerders voordat u overschakelt naar productiesystemen.

Controlepunten voor probleemoplossing

• De opdracht is niet gevonden: installeer crypto-policies-scriptsvanuit de geregistreerde SLES-repositories en probeer het opnieuw.
• De controle meldt een inconsistente status: controleer de opstartopdrachtregel, de initramfs-status en het cryptobeleid in samenhang. Vertrouw niet alleen op de melding /proc/sys/crypto/fips_enabled.
• Het systeem start niet correct op: gebruik de console of de beschreven herstelmethode om de vorige opstartconfiguratie te herstellen. Raadpleeg de ondersteuningsrichtlijnen voor het betreffende servicepack voordat u handmatige kernelparameters probeert in te stellen.
• Een applicatie verbreekt de verbinding: identificeer het geweigerde protocol, algoritme, sleutelgrootte of de bibliotheek. Werk de tegenpartij of applicatie bij naar een goedgekeurde configuratie; verzwak het systeembeleid niet om de fout te onderdrukken zonder goedkeuring van de compliance-afdeling.

Schakel de FIPS-modus uit wanneer de vereisten wijzigen.

Als je een terugdraaiing wilt uitvoeren, beschrijft SUSE dit commando:

sudo fips-mode-setup --disable

Start de computer daarna opnieuw op en voer het programma uit sudo fips-mode-setup --checkom de uiteindelijke status te bevestigen. Het uitschakelen van de FIPS-modus maakt niet automatisch alle wijzigingen in applicaties, sleutels of configuraties ongedaan die tijdens een migratie zijn aangebracht. Controleer deze afzonderlijk en documenteer de uiteindelijke systeemstatus.

Praktische checklist voor afronding

• Het SLES-servicepakket en de architectuur zijn vastgelegd en hun certificeringsstatus komt overeen met de daadwerkelijke nalevingsvereisten.
• Het FIPS-patroon en het configuratieprogramma zijn afkomstig uit de ondersteunde repositories voor dat product.
• fips-mode-setup --enableNa voltooiing is de server opnieuw opgestart en fips-mode-setup --checkmeldt dat de verwachte componenten actief zijn.
• De applicatie-, netwerk-, SSH-, back-up- en authenticatietests zijn geslaagd met de goedgekeurde algoritmen.
• De exact gevalideerde modules, binaire bestanden, pakketversies en operationele bewijzen zijn met de compliance-verantwoordelijke besproken.

Officiële referenties

• SUSE SLES 15 SP7 Beveiligings- en beveiligingshandleiding: Naleving van FIPS 140-3 mogelijk maken
• SUSE SLES 15 SP5 Beveiligings- en beveiligingshandleiding: FIPS-status en -configuratie
• SUSE SLES 15 GA Release Notes: libica FIPS 140-2 modus en de fips=1parameter
• SUSE-beveiligingscertificeringen en gevalideerde producten
• NIST-programma voor validatie van cryptografische modules