Como ativar o modo FIPS no SUSE Linux Enterprise Server 15

No SUSE Linux Enterprise Server 15, utilize fips-mode-setupo fluxo de trabalho da SUSE para configurar a política criptográfica FIPS e as configurações de inicialização. Em seguida, reinicie o sistema e verifique o resultado. Não considere uma única flag do kernel como prova de conformidade: o modo FIPS é apenas uma parte de uma implementação em conformidade, e os módulos criptográficos validados e as versões dos pacotes devem corresponder aos requisitos aplicáveis ​​ao seu sistema.

Este procedimento segue o Guia de Segurança e Reforço de Segurança da SUSE para SLES 15 SP7, a documentação atual do pacote de serviços do SLES 15 revisada em 6 de outubro de 2026. A disponibilidade do pacote e o status de certificação podem variar de acordo com o pacote de serviços, a arquitetura, o repositório e o contrato de suporte.

Referência rápida

Antes de ativar o modo FIPS

O FIPS 140 valida módulos criptográficos e suas configurações aprovadas; não se trata de uma classificação de segurança geral para um servidor inteiro. Confirme o pacote de serviços, a arquitetura, os módulos criptográficos e os aplicativos exatos do SLES que sua autoridade de conformidade exige. O guia do SUSE SLES 15 SP7 afirma que o SP7 não será submetido à certificação NIST FIPS 140-3. O guia também observa que a certificação pode envolver binários e versões específicos. Portanto, habilitar o modo no SP7 não garante que o sistema operacional ou todos os aplicativos sejam certificados pelo FIPS 140-3. Verifique as informações de certificação atuais da SUSE e os requisitos do seu avaliador antes de fazer uma declaração de conformidade.

A SUSE recomenda habilitar o FIPS somente quando uma regra de conformidade o exigir. Restrições do FIPS podem rejeitar algoritmos antigos ou fazer com que aplicativos e integrações parem de funcionar; atualizações também podem afetar a funcionalidade. Teste primeiro em um sistema representativo. Programe um período de inatividade, certifique-se de ter acesso ao console ou fora da banda, confirme se há um backup atual e documente um plano de recuperação. Se o servidor for remoto, verifique se você consegue acessar o console de inicialização antes de alterar a configuração de inicialização.

Ative o modo FIPS em um sistema SLES 15 instalado.

1. Confirme o pacote de serviços e os repositórios.

Registre os detalhes da plataforma e verifique se o servidor consegue acessar os repositórios SUSE suportados:

cat /etc/os-release
uname -m
sudo zypper refresh

Verifique se a configuração do repositório corresponde ao produto e ao pacote de serviços SLES registrados. Não adicione um repositório não relacionado para obter um pacote com nome semelhante; a certificação depende dos pacotes, versões e configuração corretos do fornecedor.

2. Instale o utilitário de configuração e o padrão FIPS, se necessário.

A SUSE recomenda instalar o patterns-base-fipspadrão em uma nova instalação. Em um servidor existente, revise as alterações de padrão e pacote antes de confirmar a transação. O comando que fornece o padrão fips-mode-setupé fornecido pelo SLES crypto-policies-scriptse pode não estar instalado por padrão. Com os repositórios SLES corretos habilitados, instale os componentes necessários, caso estejam faltando:

sudo zypper install patterns-base-fips crypto-policies-scripts

Se o seu pacote de serviços apresentar o padrão FIPS através do software YaST, você poderá selecioná-lo lá e instalar o pacote de configuração a partir do repositório compatível. Analise as alterações de dependência propostas pelo zypper; interrompa a instalação se elas removerem pacotes necessários ou fizerem com que o sistema utilize fontes não suportadas.

3. Ative a configuração FIPS

Execute o comando fornecido pelo SUSE como root através de sudo:

sudo fips-mode-setup --enable

O utilitário configura a política do sistema e as configurações de inicialização. O exemplo documentado pela SUSE informa que a política do sistema está sendo definida como FIPS e solicita uma reinicialização. Se o comando informar que o utilitário está ausente, instale ou repare crypto-policies-scriptsa partir do repositório correto do produto, em vez de editar manualmente vários arquivos de política criptográfica.

Para ambientes com controle de alterações que gerenciam a configuração do carregador de inicialização separadamente, o utilitário oferece suporte à opção `--add` --no-bootcfg. Essa opção imprime os parâmetros de inicialização que precisam ser adicionados em vez de reconfigurar o carregador de inicialização. Siga a saída e o procedimento de carregamento de inicialização da sua plataforma. A SUSE observa uma exceção para IBM Z: o comando ainda tenta ser executado ziplporque omiti-lo poderia tornar o sistema não inicializável.

4. Reinicie e verifique

Reinicie durante a janela de manutenção:

sudo reboot

Após o servidor voltar a funcionar, verifique o status completo:

sudo fips-mode-setup --check

No SLES 15 SP7, a saída de exemplo da SUSE confirma que o modo FIPS está habilitado, o módulo FIPS do initramfs está habilitado e a política criptográfica atual é baseada na política FIPS. Você também pode inspecionar o indicador do kernel:

cat /proc/sys/crypto/fips_enabled

Um valor de 10 indica que o sinalizador FIPS do kernel está ativo. Considere isso como um diagnóstico adicional, não como uma substituição fips-mode-setup --checkou revisão dos módulos validados e da configuração do aplicativo. Um serviço pode ter sua própria biblioteca criptográfica, política ou requisitos de conformidade.

Verifique os aplicativos e integrações.

Execute testes funcionais que reflitam o papel real do sistema. Teste conexões TLS com os pares necessários, acesso SSH com algoritmos aprovados, operações com certificados, tarefas agendadas, backups, autenticação de diretório e qualquer criptografia de banco de dados ou aplicativo. Analise os logs do aplicativo em busca de erros que indiquem a indisponibilidade de um algoritmo ou tamanho de chave. Atualize os clientes ou integrações que dependem de criptografia não permitida por meio de seus respectivos processos de configuração.

O Samba/CIFS é uma consideração conhecida no guia da SUSE: em uma rede compatível com FIPS, utilize a autenticação Kerberos. O guia explica que outros modos de autenticação do Samba incluem o MD5, que não é suportado para autenticação sob as regras FIPS. Confirme o caminho de autenticação com seus administradores de diretório e armazenamento antes de migrar para sistemas de produção.

Pontos de verificação para resolução de problemas

• O comando não foi encontrado: instale crypto-policies-scriptsa partir dos repositórios SLES registrados e tente novamente.
• A verificação reporta um estado inconsistente: revise a linha de comando de inicialização, o status do initramfs e a política criptográfica em conjunto. Não confie apenas em /proc/sys/crypto/fips_enabled.
• O sistema não inicializa corretamente: use o console ou o método de recuperação documentado e restaure a configuração de inicialização anterior. Consulte as orientações de suporte específicas do seu pacote de serviços antes de tentar parâmetros manuais do kernel.
• Uma aplicação para de se conectar: ​​identifique o protocolo, algoritmo, tamanho da chave ou biblioteca rejeitados. Atualize o servidor ou a aplicação para uma configuração aprovada; não enfraqueça a política do sistema para silenciar o erro sem aprovação de conformidade.

Desative o modo FIPS quando os requisitos mudarem.

Caso precise reverter a alteração, a SUSE documenta este comando:

sudo fips-mode-setup --disable

Reinicie o sistema em seguida e execute o comando sudo fips-mode-setup --checkpara confirmar o estado resultante. Desativar o modo FIPS não desfaz automaticamente todas as alterações de aplicativos, chaves ou configurações feitas durante a migração. Analise-as separadamente e documente o estado final do sistema.

Lista de verificação prática para conclusão

• O pacote de serviços e a arquitetura do SLES estão registrados, e seu status de certificação corresponde ao requisito de conformidade real.
• O padrão FIPS e o utilitário de configuração foram obtidos dos repositórios suportados para esse produto.
• fips-mode-setup --enableConcluída a operação, o servidor foi reiniciado e fips-mode-setup --checkreporta que os componentes esperados estão ativos.
• Os testes de aplicação, rede, SSH, backup e autenticação foram aprovados com os algoritmos validados.
• Os módulos, binários, versões de pacotes e evidências operacionais validados foram revisados ​​com o responsável pela conformidade.

Referências oficiais

• Guia de Segurança e Reforço do SUSE SLES 15 SP7: Habilitando a conformidade com o FIPS 140-3
• Guia de Segurança e Reforço de Segurança do SUSE SLES 15 SP5: Status e configuração do FIPS
• Notas de lançamento do SUSE SLES 15 GA: modo libica FIPS 140-2 e o fips=1parâmetro
• Certificações de segurança e produtos validados da SUSE
• Programa de Validação de Módulos Criptográficos do NIST