Jak włączyć tryb FIPS w systemie SUSE Linux Enterprise Server 15

W systemie SUSE Linux Enterprise Server 15 należy użyć przepływu pracy SUSE fips-mode-setupdo skonfigurowania zasad szyfrowania FIPS i ustawień rozruchu, a następnie zrestartować system i zweryfikować wynik. Nie należy traktować pojedynczej flagi jądra jako dowodu zgodności: tryb FIPS to tylko jeden z elementów zgodnego wdrożenia, a zweryfikowane moduły kryptograficzne i wersje pakietów muszą być zgodne z wymaganiami obowiązującymi w systemie.

Niniejsza procedura jest zgodna z dokumentem SUSE Security and Hardening Guide for SLES 15 SP7, czyli aktualną dokumentacją pakietu Service Pack dla systemu SLES 15, z dnia 6 października 2026 r. Dostępność pakietów i status certyfikacji mogą się różnić w zależności od pakietu Service Pack, architektury, repozytorium i umowy o wsparcie techniczne.

Krótki przewodnik

Przed włączeniem trybu FIPS

Norma FIPS 140 weryfikuje moduły kryptograficzne i ich zatwierdzone konfiguracje; nie jest to ogólna ocena bezpieczeństwa całego serwera. Sprawdź, czy Twój urząd ds. zgodności wymaga konkretnego pakietu serwisowego SLES, architektury, modułów kryptograficznych i aplikacji. W podręczniku SUSE dotyczącym SLES 15 SP7 stwierdzono, że SP7 nie będzie podlegał certyfikacji NIST FIPS 140-3. W podręczniku zaznaczono również, że certyfikacja może obejmować określone pliki binarne i wersje. Dlatego włączenie tego trybu w SP7 nie oznacza, że ​​system operacyjny lub każda aplikacja posiada certyfikat FIPS 140-3. Przed złożeniem wniosku o zgodność sprawdź aktualne informacje o certyfikacji SUSE i wymagania swojego audytora.

Firma SUSE zaleca włączanie FIPS tylko wtedy, gdy wymaga tego reguła zgodności. Ograniczenia FIPS mogą odrzucać starsze algorytmy lub powodować, że aplikacje i integracje przestaną działać; aktualizacje mogą również wpływać na funkcjonalność. Najpierw przetestuj system reprezentatywny. Zaplanuj przestoje, upewnij się, że masz dostęp do konsoli lub poza pasmem, potwierdź aktualną kopię zapasową i udokumentuj ścieżkę odzyskiwania. Jeśli serwer jest zdalny, przed zmianą konfiguracji rozruchu sprawdź, czy masz dostęp do jego konsoli rozruchowej.

Włącz tryb FIPS w zainstalowanym systemie SLES 15

1. Potwierdź pakiet serwisowy i repozytoria

Zarejestruj szczegóły platformy i sprawdź, czy serwer może połączyć się z obsługiwanymi repozytoriami SUSE:

cat /etc/os-release
uname -m
sudo zypper refresh

Sprawdź, czy konfiguracja repozytorium jest zgodna z zarejestrowanym produktem SLES i pakietem Service Pack. Nie dodawaj niepowiązanego repozytorium, aby uzyskać pakiet o podobnej nazwie; certyfikacja zależy od odpowiednich pakietów, wersji i konfiguracji dostawcy.

2. Zainstaluj wzorzec FIPS i narzędzie instalacyjne, jeśli to konieczne

Firma SUSE zaleca zainstalowanie patterns-base-fipswzorca w nowej instalacji. Na istniejącym serwerze należy sprawdzić zmiany wzorca i pakietu przed potwierdzeniem transakcji. Polecenie, które je udostępnia, fips-mode-setupjest dostarczane przez crypto-policies-scriptsi może nie być domyślnie zainstalowane. Po włączeniu odpowiednich repozytoriów SLES, zainstaluj wymagane komponenty, jeśli ich brakuje:

sudo zypper install patterns-base-fips crypto-policies-scripts

Jeśli Twój Service Pack udostępnia wzorzec FIPS za pośrednictwem oprogramowania YaST, możesz go tam wybrać i zainstalować pakiet instalacyjny z obsługiwanego repozytorium. Zapoznaj się z proponowanymi przez Zypper zmianami zależności; przerwij instalację, jeśli spowoduje to usunięcie wymaganych pakietów lub przełączenie systemu na nieobsługiwane źródła.

3. Włącz konfigurację FIPS

Uruchom polecenie dostarczone przez SUSE jako root poprzez sudo:

sudo fips-mode-setup --enable

Narzędzie konfiguruje zasady systemu i ustawienia rozruchu. Udokumentowany przykład SUSE zgłasza, że ​​zasady systemu są ustawiane na FIPS i żąda ponownego uruchomienia. Jeśli polecenie zgłosi brak narzędzia, zainstaluj je lub napraw crypto-policies-scriptsz odpowiedniego repozytorium produktu, zamiast ręcznie edytować różne pliki zasad kryptograficznych.

W środowiskach z kontrolą zmian, które oddzielnie zarządzają konfiguracją bootloadera, narzędzie obsługuje opcję --no-bootcfg. Ta opcja wyświetla parametry rozruchu, które należy dodać, zamiast rekonfigurować bootloader. Postępuj zgodnie z danymi wyjściowymi i procedurą bootloadera dla swojej platformy. SUSE zauważa wyjątek dla IBM Z: polecenie nadal próbuje się uruchomić, ziplponieważ jego pominięcie może uniemożliwić uruchomienie systemu.

4. Uruchom ponownie i sprawdź

Ponowne uruchomienie w oknie konserwacyjnym:

sudo reboot

Po powrocie serwera sprawdź jego pełny status:

sudo fips-mode-setup --check

W systemie SLES 15 SP7 przykładowe dane wyjściowe systemu SUSE potwierdzają, że tryb FIPS jest włączony, moduł FIPS initramfs jest włączony, a bieżąca polityka szyfrowania jest oparta na polityce FIPS. Można również sprawdzić wskaźnik jądra:

cat /proc/sys/crypto/fips_enabled

Wartość 1wskazuje, że flaga FIPS jądra jest aktywna. Należy to traktować jako dodatkową diagnostykę, a nie jako zamiennik fips-mode-setup --checkani przegląd sprawdzonych modułów i konfiguracji aplikacji. Usługa może mieć własną bibliotekę kryptograficzną, politykę lub wymagania dotyczące zgodności.

Sprawdź aplikacje i integracje

Przeprowadź testy funkcjonalne odzwierciedlające rzeczywistą rolę systemu. Przetestuj połączenia TLS z wymaganymi węzłami, dostęp SSH z zatwierdzonymi algorytmami, operacje na certyfikatach, zaplanowane zadania, kopie zapasowe, uwierzytelnianie katalogów oraz wszelkie zabezpieczenia kryptograficzne baz danych lub aplikacji. Przejrzyj logi aplikacji pod kątem błędów wskazujących na niedostępność algorytmu lub rozmiaru klucza. Aktualizuj klientów lub integracje, które opierają się na niedozwolonej kryptografii, za pomocą obsługiwanego procesu konfiguracji.

Samba/CIFS to znana kwestia poruszana w przewodniku SUSE: w sieci zgodnej ze standardem FIPS należy używać uwierzytelniania Kerberos. Przewodnik wyjaśnia, że ​​inne tryby uwierzytelniania Samba obejmują MD5, który nie jest obsługiwany w przypadku uwierzytelniania w ramach reguł FIPS. Przed zmianą systemu produkcyjnego należy potwierdzić ścieżkę uwierzytelniania z administratorami katalogów i pamięci masowej.

Rozwiązywanie problemów z punktami kontrolnymi

• Polecenie nie zostało znalezione. Zainstaluj crypto-policies-scriptsz zarejestrowanych repozytoriów SLES i spróbuj ponownie.
• Kontrola zgłasza niespójny stan: sprawdź jednocześnie wiersz poleceń rozruchu, stan initramfs i politykę szyfrowania. Nie polegaj wyłącznie na /proc/sys/crypto/fips_enabled.
• System nie uruchamia się poprawnie: użyj konsoli lub udokumentowanej metody odzyskiwania i przywróć poprzednią konfigurację rozruchu. Przed próbą ręcznego ustawienia parametrów jądra zapoznaj się z instrukcjami pomocy technicznej dotyczącymi konkretnego dodatku Service Pack.
• Aplikacja przestaje się łączyć: zidentyfikuj odrzucony protokół, algorytm, rozmiar klucza lub bibliotekę. Zaktualizuj peera lub aplikację do zatwierdzonej konfiguracji; nie osłabiaj polityki systemowej, aby wyciszyć błąd bez zatwierdzenia zgodności.

Wyłącz tryb FIPS, gdy wymagania ulegną zmianie

Jeśli musisz cofnąć zmiany, SUSE dokumentuje to polecenie:

sudo fips-mode-setup --disable

Następnie uruchom ponownie system, a następnie uruchom go sudo fips-mode-setup --check, aby potwierdzić stan końcowy. Wyłączenie trybu FIPS nie cofa automatycznie każdej zmiany aplikacji, klucza ani konfiguracji wprowadzonej podczas migracji. Przejrzyj je osobno i udokumentuj końcowy stan systemu.

Lista kontrolna ukończenia ćwiczeń praktycznych

• Pakiet serwisowy SLES i architektura są rejestrowane, a ich status certyfikacji odpowiada rzeczywistym wymaganiom zgodności.
• Wzorzec FIPS i narzędzie instalacyjne pochodzą z obsługiwanych repozytoriów dla tego produktu.
• fips-mode-setup --enableukończono, serwer uruchomił się ponownie i fips-mode-setup --checkzgłosił, że oczekiwane komponenty są aktywne.
• Testy aplikacji, sieci, SSH, kopii zapasowych i uwierzytelniania zaliczone przy użyciu zatwierdzonych algorytmów.
• Dokładne sprawdzone moduły, pliki binarne, wersje pakietów i dowody operacyjne zostały omówione z właścicielem zgodności.

Oficjalne referencje

• Przewodnik po zabezpieczeniach i wzmacnianiu zabezpieczeń systemu SUSE SLES 15 SP7: zapewnianie zgodności ze standardem FIPS 140-3
• Przewodnik po zabezpieczeniach i wzmacnianiu zabezpieczeń systemu SUSE SLES 15 SP5: stan i konfiguracja FIPS
• Notatki dotyczące wydania SUSE SLES 15 GA: tryb libica FIPS 140-2 i fips=1parametr
• Certyfikaty bezpieczeństwa SUSE i sprawdzone produkty
• Program walidacji modułów kryptograficznych NIST