Pe SUSE Linux Enterprise Server 15, utilizați fluxul de lucru SUSE fips-mode-setuppentru a configura politica criptografică FIPS și setările de bootare, apoi reporniți și verificați rezultatul. Nu tratați un singur indicator de kernel ca dovadă a conformității: modul FIPS este doar o parte a unei implementări conforme, iar modulele criptografice validate și versiunile pachetului trebuie să corespundă cerinței aplicabile sistemului dvs.
Această procedură respectă Ghidul de securitate și consolidare SUSE pentru SLES 15 SP7, documentația actuală a pachetului service pack SLES 15 revizuită pe 6 octombrie 2026. Disponibilitatea pachetului și starea certificării pot varia în funcție de pachetul service pack, arhitectură, depozit și contract de asistență.
| Gol | Acţiune | Indicator de succes |
|---|---|---|
| Pregătiți o nouă instalație | Instalați patterns-base-fipsmodelul | Sunt prezente pachete legate de FIPS |
| Activați configurația sistemului | Aleargăsudo fips-mode-setup --enable | Instrumentul raportează că modul FIPS va fi activat |
| Aplicați configurația de bootare | Repornire în timpul unei ferestre de întreținere | Serverul revine în serviciu |
| Verificați rezultatul | Aleargăsudo fips-mode-setup --check | Verificările politicii criptografice Kernel, initramfs și FIPS trec cu succes |
FIPS 140 validează modulele criptografice și configurațiile lor aprobate; nu este o evaluare generală de securitate pentru un întreg server. Confirmați exact pachetul de service SLES, arhitectura, modulele criptografice și aplicațiile pe care le solicită autoritatea dvs. de conformitate. Ghidul SUSE SLES 15 SP7 precizează că SP7 nu va fi trimis pentru certificare NIST FIPS 140-3. Ghidul menționează, de asemenea, că certificarea poate implica fișiere binare și versiuni specifice. Prin urmare, activarea modului pe SP7 nu stabilește că sistemul de operare sau fiecare aplicație este certificată FIPS 140-3. Verificați informațiile actuale de certificare SUSE și cerințele evaluatorului dvs. înainte de a face o declarație de conformitate.
SUSE recomandă activarea FIPS numai atunci când o regulă de conformitate o impune. Restricțiile FIPS pot respinge algoritmi mai vechi sau pot cauza oprirea funcționării aplicațiilor și integrărilor; actualizările pot afecta, de asemenea, funcționalitatea. Testați mai întâi un sistem reprezentativ. Programați perioadele de nefuncționare, asigurați-vă că aveți acces la consolă sau în afara benzii, confirmați o copie de rezervă curentă și documentați o rută de recuperare. Dacă serverul este la distanță, verificați dacă puteți accesa consola sa de boot înainte de a modifica configurația de boot.
Înregistrați detaliile platformei și verificați dacă serverul poate accesa depozitele SUSE acceptate:
cat /etc/os-release
uname -m
sudo zypper refreshVerificați dacă configurația depozitului corespunde cu produsul și pachetul de service SLES înregistrat. Nu adăugați un depozit fără legătură pentru a obține un pachet cu nume similar; certificarea depinde de pachetele, versiunile și configurația corecte ale furnizorului.
SUSE recomandă instalarea patterns-base-fipsmodelului pe o instalare nouă. Pe un server existent, examinați modelul și modificările pachetului înainte de a confirma tranzacția. Comanda care furnizează acest lucru fips-mode-setupeste furnizată de crypto-policies-scriptsși este posibil să nu fie instalată în mod implicit. Cu depozitele SLES corecte activate, instalați componentele necesare dacă acestea lipsesc:
sudo zypper install patterns-base-fips crypto-policies-scriptsDacă pachetul dumneavoastră de service prezintă modelul FIPS prin intermediul software-ului YaST, îl puteți selecta acolo și instala pachetul de instalare din depozitul acceptat. Examinați modificările de dependență propuse de zypper; opriți-l dacă ar elimina pachetele necesare sau ar comuta sistemul la surse neacceptate.
Executați comanda furnizată de SUSE ca root prin sudo:
sudo fips-mode-setup --enableUtilitarul configurează politica de sistem și setările de bootare. Exemplul documentat al SUSE raportează că politica de sistem este setată la FIPS și solicită o repornire. Dacă comanda raportează că utilitarul lipsește, instalați sau reparați crypto-policies-scriptsdin depozitul corect al produsului, în loc să editați manual diverse fișiere de politică criptografică.
Pentru mediile controlate prin modificări care gestionează separat configurația bootloader-ului, utilitarul acceptă --no-bootcfg. Această opțiune afișează parametrii de boot care trebuie adăugați în loc să reconfigureze bootloader-ul. Urmați rezultatul și procedura bootloader a platformei dvs. SUSE observă o excepție pentru IBM Z: comanda încearcă în continuare să se execute zipldeoarece omiterea ei ar putea face sistemul imposibil de bootat.
Reporniți în fereastra de întreținere:
sudo rebootDupă ce serverul revine, verificați starea completă:
sudo fips-mode-setup --checkPe SLES 15 SP7, exemplul de ieșire al SUSE confirmă că modul FIPS este activat, modulul FIPS initramfs este activat și politica criptografică curentă se bazează pe politica FIPS. De asemenea, puteți inspecta indicatorul kernelului:
cat /proc/sys/crypto/fips_enabledO valoare a 1indică faptul că steagul FIPS al kernelului este activ. Tratați acest lucru ca un diagnostic suplimentar, nu ca un înlocuitor fips-mode-setup --checksau o revizuire a modulelor validate și a configurației aplicației. Un serviciu ar putea avea propria bibliotecă criptografică, politică sau cerințe de conformitate.
Executați teste funcționale care reflectă rolul real al sistemului. Testați conexiunile TLS la colegii necesari, accesul SSH cu algoritmi aprobați, operațiunile cu certificate, joburile programate, copiile de rezervă, autentificarea directorului și orice criptografie a bazei de date sau a aplicației. Verificați jurnalele aplicațiilor pentru erori care indică faptul că un algoritm sau o dimensiune a cheii nu este disponibilă. Actualizați clienții sau integrările care depind de criptografia nepermisă prin procesul de configurare acceptat.
Samba/CIFS este o considerație cunoscută în ghidul SUSE: într-o rețea compatibilă cu FIPS, utilizați autentificarea Kerberos. Ghidul explică faptul că alte moduri de autentificare Samba includ MD5, care nu este acceptat pentru autentificarea în cadrul regulilor FIPS. Confirmați calea de autentificare cu administratorii de director și stocare înainte de a schimba sistemele de producție.
crypto-policies-scriptsdin depozitele SLES înregistrate, apoi încercați din nou./proc/sys/crypto/fips_enabled.Dacă trebuie să reveniți la versiunea anterioară, SUSE documentează această comandă:
sudo fips-mode-setup --disableReporniți ulterior, apoi executați sudo fips-mode-setup --checkpentru a confirma starea rezultată. Dezactivarea modului FIPS nu anulează automat fiecare modificare de aplicație, cheie sau configurație efectuată în timpul unei migrări. Examinați-le separat și documentați starea finală a sistemului.
fips-mode-setup --enablefinalizat, serverul a fost repornit și fips-mode-setup --checkraportează componentele așteptate ca fiind active.fips=1parametrulConfigurați un VPN WireGuard point-to-site pe Debian 12 cu wg-quick, redirecționare IPv4, nftables NAT, profiluri de client, pornire systemd și verificare.
Auditați SLES 15 în raport cu DISA STIG actual, revizuiți constatările OpenSCAP, testați remedierile și documentați excepțiile înainte de lansarea în producție.
Remediați ruperea ecranului cu grafica Intel în Pardus Linux verificând X11 vs. Wayland, setările compozitorului, rata de reîmprospătare, driverul Xorg activ și TearFree doar atunci când este cazul.
Configurați firewalld pe SLES 15: verificați zonele, permiteți servicii sau porturi, salvați reguli permanente, reîncărcați în siguranță și verificați accesul.
Activați aplicarea de patch-uri live pentru kernel pe SLES 15 SP7, aplicați remedierile acceptate fără a reporni, verificați patch-urile active și înțelegeți când este încă necesară o repornire a kernelului.
Activați modul FIPS pe SLES 15 cu utilitarul de configurare acceptat de SUSE, reporniți în siguranță, verificați starea kernelului și a politicii criptografice și verificați limitele de certificare.
Install Google Chrome on Gooroom OS safely with official .deb packages, APT, policy checks, update guidance, and fixes for managed devices.
Redirecționați în siguranță jurnalele de sistem SLES către un server syslog la distanță cu rsyslog, certificate TLS, verificare a numelui peer-ului, cozi, validare și testare.
Conectați SLES 15 la Active Directory cu SSSD folosind YaST. Pregătiți DNS și ora, configurați datele de autentificare la domeniu, verificați Kerberos și comparați SSSD, Winbind și realmd.
Remediați problema Wi-Fi RTL8821CE pe Pardus Linux verificând driverul rtw88 încorporat, firmware-ul Realtek, rfkill, NetworkManager și opțiunile de rezervă.
