Cum se activează modul FIPS pe SUSE Linux Enterprise Server 15

Pe SUSE Linux Enterprise Server 15, utilizați fluxul de lucru SUSE fips-mode-setuppentru a configura politica criptografică FIPS și setările de bootare, apoi reporniți și verificați rezultatul. Nu tratați un singur indicator de kernel ca dovadă a conformității: modul FIPS este doar o parte a unei implementări conforme, iar modulele criptografice validate și versiunile pachetului trebuie să corespundă cerinței aplicabile sistemului dvs.

Această procedură respectă Ghidul de securitate și consolidare SUSE pentru SLES 15 SP7, documentația actuală a pachetului service pack SLES 15 revizuită pe 6 octombrie 2026. Disponibilitatea pachetului și starea certificării pot varia în funcție de pachetul service pack, arhitectură, depozit și contract de asistență.

Referință rapidă

Înainte de a activa modul FIPS

FIPS 140 validează modulele criptografice și configurațiile lor aprobate; nu este o evaluare generală de securitate pentru un întreg server. Confirmați exact pachetul de service SLES, arhitectura, modulele criptografice și aplicațiile pe care le solicită autoritatea dvs. de conformitate. Ghidul SUSE SLES 15 SP7 precizează că SP7 nu va fi trimis pentru certificare NIST FIPS 140-3. Ghidul menționează, de asemenea, că certificarea poate implica fișiere binare și versiuni specifice. Prin urmare, activarea modului pe SP7 nu stabilește că sistemul de operare sau fiecare aplicație este certificată FIPS 140-3. Verificați informațiile actuale de certificare SUSE și cerințele evaluatorului dvs. înainte de a face o declarație de conformitate.

SUSE recomandă activarea FIPS numai atunci când o regulă de conformitate o impune. Restricțiile FIPS pot respinge algoritmi mai vechi sau pot cauza oprirea funcționării aplicațiilor și integrărilor; actualizările pot afecta, de asemenea, funcționalitatea. Testați mai întâi un sistem reprezentativ. Programați perioadele de nefuncționare, asigurați-vă că aveți acces la consolă sau în afara benzii, confirmați o copie de rezervă curentă și documentați o rută de recuperare. Dacă serverul este la distanță, verificați dacă puteți accesa consola sa de boot înainte de a modifica configurația de boot.

Activarea modului FIPS pe un sistem SLES 15 instalat

1. Confirmați pachetul service pack și repozitoriile

Înregistrați detaliile platformei și verificați dacă serverul poate accesa depozitele SUSE acceptate:

cat /etc/os-release
uname -m
sudo zypper refresh

Verificați dacă configurația depozitului corespunde cu produsul și pachetul de service SLES înregistrat. Nu adăugați un depozit fără legătură pentru a obține un pachet cu nume similar; certificarea depinde de pachetele, versiunile și configurația corecte ale furnizorului.

2. Instalați modelul FIPS și utilitarul de configurare, dacă este necesar

SUSE recomandă instalarea patterns-base-fipsmodelului pe o instalare nouă. Pe un server existent, examinați modelul și modificările pachetului înainte de a confirma tranzacția. Comanda care furnizează acest lucru fips-mode-setupeste furnizată de crypto-policies-scriptsși este posibil să nu fie instalată în mod implicit. Cu depozitele SLES corecte activate, instalați componentele necesare dacă acestea lipsesc:

sudo zypper install patterns-base-fips crypto-policies-scripts

Dacă pachetul dumneavoastră de service prezintă modelul FIPS prin intermediul software-ului YaST, îl puteți selecta acolo și instala pachetul de instalare din depozitul acceptat. Examinați modificările de dependență propuse de zypper; opriți-l dacă ar elimina pachetele necesare sau ar comuta sistemul la surse neacceptate.

3. Activați configurația FIPS

Executați comanda furnizată de SUSE ca root prin sudo:

sudo fips-mode-setup --enable

Utilitarul configurează politica de sistem și setările de bootare. Exemplul documentat al SUSE raportează că politica de sistem este setată la FIPS și solicită o repornire. Dacă comanda raportează că utilitarul lipsește, instalați sau reparați crypto-policies-scriptsdin depozitul corect al produsului, în loc să editați manual diverse fișiere de politică criptografică.

Pentru mediile controlate prin modificări care gestionează separat configurația bootloader-ului, utilitarul acceptă --no-bootcfg. Această opțiune afișează parametrii de boot care trebuie adăugați în loc să reconfigureze bootloader-ul. Urmați rezultatul și procedura bootloader a platformei dvs. SUSE observă o excepție pentru IBM Z: comanda încearcă în continuare să se execute zipldeoarece omiterea ei ar putea face sistemul imposibil de bootat.

4. Reporniți și verificați

Reporniți în fereastra de întreținere:

sudo reboot

După ce serverul revine, verificați starea completă:

sudo fips-mode-setup --check

Pe SLES 15 SP7, exemplul de ieșire al SUSE confirmă că modul FIPS este activat, modulul FIPS initramfs este activat și politica criptografică curentă se bazează pe politica FIPS. De asemenea, puteți inspecta indicatorul kernelului:

cat /proc/sys/crypto/fips_enabled

O valoare a 1indică faptul că steagul FIPS al kernelului este activ. Tratați acest lucru ca un diagnostic suplimentar, nu ca un înlocuitor fips-mode-setup --checksau o revizuire a modulelor validate și a configurației aplicației. Un serviciu ar putea avea propria bibliotecă criptografică, politică sau cerințe de conformitate.

Verificați aplicațiile și integrările

Executați teste funcționale care reflectă rolul real al sistemului. Testați conexiunile TLS la colegii necesari, accesul SSH cu algoritmi aprobați, operațiunile cu certificate, joburile programate, copiile de rezervă, autentificarea directorului și orice criptografie a bazei de date sau a aplicației. Verificați jurnalele aplicațiilor pentru erori care indică faptul că un algoritm sau o dimensiune a cheii nu este disponibilă. Actualizați clienții sau integrările care depind de criptografia nepermisă prin procesul de configurare acceptat.

Samba/CIFS este o considerație cunoscută în ghidul SUSE: într-o rețea compatibilă cu FIPS, utilizați autentificarea Kerberos. Ghidul explică faptul că alte moduri de autentificare Samba includ MD5, care nu este acceptat pentru autentificarea în cadrul regulilor FIPS. Confirmați calea de autentificare cu administratorii de director și stocare înainte de a schimba sistemele de producție.

Puncte de control de depanare

• Comanda nu a fost găsită: instalați crypto-policies-scriptsdin depozitele SLES înregistrate, apoi încercați din nou.
• Verificarea raportează o stare inconsistentă: verificați împreună linia de comandă de bootare, starea initramfs și politica de criptografie. Nu vă bazați doar pe /proc/sys/crypto/fips_enabled.
• Sistemul nu pornește fără probleme: utilizați consola sau metoda de recuperare documentată și restaurați configurația de pornire anterioară. Consultați instrucțiunile de asistență specifice pachetului service pack înainte de a încerca parametrii manuali ai kernelului.
• O aplicație se oprește din conectare: identificați protocolul, algoritmul, dimensiunea cheii sau biblioteca respinsă. Actualizați peer-ul sau aplicația la o configurație aprobată; nu slăbiți politica de sistem pentru a dezactiva eroarea fără aprobarea conformității.

Dezactivați modul FIPS când se modifică cerința

Dacă trebuie să reveniți la versiunea anterioară, SUSE documentează această comandă:

sudo fips-mode-setup --disable

Reporniți ulterior, apoi executați sudo fips-mode-setup --checkpentru a confirma starea rezultată. Dezactivarea modului FIPS nu anulează automat fiecare modificare de aplicație, cheie sau configurație efectuată în timpul unei migrări. Examinați-le separat și documentați starea finală a sistemului.

Listă de verificare practică pentru finalizare

• Pachetul de service și arhitectura SLES sunt înregistrate, iar starea certificării lor corespunde cu cerința de conformitate reală.
• Modelul FIPS și utilitarul de configurare provin din repozitoriile acceptate pentru produsul respectiv.
• fips-mode-setup --enablefinalizat, serverul a fost repornit și fips-mode-setup --checkraportează componentele așteptate ca fiind active.
• Testele de aplicație, rețea, SSH, backup și autentificare au fost trecute cu algoritmii aprobați.
• Modulele, fișierele binare, versiunile de pachete și dovezile operaționale validate exact au fost revizuite împreună cu proprietarul departamentului de conformitate.

Referințe oficiale

• Ghid de securitate și consolidare SUSE SLES 15 SP7: Activarea conformității cu FIPS 140-3
• Ghid de securitate și consolidare SUSE SLES 15 SP5: Starea și configurarea FIPS
• Note de lansare SUSE SLES 15 GA: modul libica FIPS 140-2 și fips=1parametrul
• Certificări de securitate SUSE și produse validate
• Programul de validare a modulelor criptografice NIST