Как включить режим FIPS на сервере SUSE Linux Enterprise Server 15

В SUSE Linux Enterprise Server 15 используйте стандартный рабочий процесс SUSE fips-mode-setupдля настройки политики криптографии FIPS и параметров загрузки, затем перезагрузите систему и проверьте результат. Не рассматривайте отдельный флаг ядра как доказательство соответствия: режим FIPS — это лишь часть соответствующего требованиям развертывания, и проверенные криптографические модули и версии пакетов должны соответствовать требованиям, применимым к вашей системе.

Данная процедура соответствует руководству SUSE по безопасности и усилению защиты для SLES 15 SP7, текущей документации по пакетам обновлений SLES 15, проверенной 6 октября 2026 года. Доступность пакета и статус сертификации могут различаться в зависимости от пакета обновлений, архитектуры, репозитория и договора на поддержку.

Краткий справочник

Перед включением режима FIPS

Стандарт FIPS 140 проверяет криптографические модули и их утвержденные конфигурации; это не общая оценка безопасности для всего сервера. Уточните точный пакет обновлений SLES, архитектуру, криптографические модули и приложения, которые требуются вашему органу по сертификации. В руководстве SUSE по SLES 15 SP7 указано, что SP7 не будет представлен на сертификацию NIST FIPS 140-3. В руководстве также отмечается, что сертификация может включать конкретные бинарные файлы и версии. Поэтому включение этого режима на SP7 не означает, что операционная система или каждое приложение сертифицированы по стандарту FIPS 140-3. Перед подачей заявления о соответствии проверьте актуальную информацию о сертификации SUSE и требования вашего органа по сертификации.

SUSE рекомендует включать FIPS только в том случае, если этого требует правило соответствия. Ограничения FIPS могут привести к отклонению устаревших алгоритмов или к прекращению работы приложений и интеграций; обновления также могут повлиять на функциональность. Сначала протестируйте репрезентативную систему. Запланируйте время простоя, убедитесь в наличии доступа к консоли или внеполосному доступу, подтвердите наличие актуальной резервной копии и задокументируйте план восстановления. Если сервер находится удаленно, убедитесь, что вы можете получить доступ к его загрузочной консоли, прежде чем изменять конфигурацию загрузки.

Включите режим FIPS на установленной системе SLES 15.

1. Подтвердите пакет обновлений и репозитории.

Запишите данные о платформе и убедитесь, что сервер может получить доступ к поддерживаемым репозиториям SUSE:

cat /etc/os-release
uname -m
sudo zypper refresh

Убедитесь, что конфигурация репозитория соответствует зарегистрированному продукту SLES и пакету обновлений. Не добавляйте несвязанный репозиторий для получения пакета с похожим именем; сертификация зависит от правильного выбора пакетов, версий и конфигурации поставщика.

2. При необходимости установите шаблон FIPS и утилиту настройки.

SUSE рекомендует устанавливать patterns-base-fipsшаблон на новой установке. На существующем сервере перед подтверждением транзакции проверьте изменения шаблона и пакетов. Команда, которая предоставляет, fips-mode-setupпредоставляется crypto-policies-scriptsи может не быть установлена ​​по умолчанию. При включенных правильных репозиториях SLES установите необходимые компоненты, если они отсутствуют:

sudo zypper install patterns-base-fips crypto-policies-scripts

Если ваш пакет обновлений поддерживает стандарт FIPS через YaST Software, вы можете выбрать его там и установить установочный пакет из поддерживаемого репозитория. Ознакомьтесь с предлагаемыми zypper изменениями зависимостей; остановитесь, если они приведут к удалению необходимых пакетов или переключению системы на неподдерживаемые источники.

3. Включите конфигурацию FIPS.

Выполните предоставленную SUSE команду от имени root следующим образом sudo:

sudo fips-mode-setup --enable

Эта утилита настраивает системную политику и параметры загрузки. В приведенном в документации SUSE примере сообщается, что системная политика устанавливается на уровень FIPS, и запрашивается перезагрузка. Если команда сообщает об отсутствии утилиты, установите или восстановите ее crypto-policies-scriptsиз соответствующего репозитория продукта, вместо того чтобы вручную редактировать различные файлы криптографической политики.

Для сред с контролируемым изменением, где конфигурация загрузчика управляется отдельно, утилита поддерживает параметр `--` --no-bootcfg. Этот параметр выводит параметры загрузки, которые необходимо добавить, вместо переконфигурации загрузчика. Следуйте выводу и процедуре настройки загрузчика вашей платформы. SUSE отмечает исключение для IBM Z: команда все еще пытается выполнить команду, ziplпоскольку ее пропуск может привести к невозможности загрузки системы.

4. Перезагрузите устройство и проверьте.

Перезагрузите систему в режиме технического обслуживания:

sudo reboot

После восстановления работы сервера проверьте его полный статус:

sudo fips-mode-setup --check

В SLES 15 SP7 пример выходных данных SUSE подтверждает, что режим FIPS включен, модуль initramfs FIPS включен, и текущая криптографическая политика основана на политике FIPS. Вы также можете проверить индикатор ядра:

cat /proc/sys/crypto/fips_enabled

Значение 1указывает на то, что флаг FIPS ядра активен. Рассматривайте это как дополнительную диагностическую информацию, а не как замену fips-mode-setup --checkили проверку проверенных модулей и конфигурации приложения. Сервис может иметь собственную криптографическую библиотеку, политику или требования к соответствию стандартам.

Проверьте приложения и интеграции.

Проведите функциональные тесты, отражающие реальную роль системы. Проверьте TLS-соединения с необходимыми узлами, доступ по SSH с использованием утвержденных алгоритмов, работу с сертификатами, запланированные задания, резервное копирование, аутентификацию каталогов, а также криптографию баз данных или приложений. Просмотрите журналы приложений на наличие ошибок, указывающих на недоступность алгоритма или размера ключа. Обновите клиенты или интеграции, зависящие от запрещенной криптографии, используя поддерживаемый ими процесс настройки.

Использование Samba/CIFS — это известный момент, упомянутый в руководстве SUSE: в сети, соответствующей стандарту FIPS, используйте аутентификацию Kerberos. В руководстве поясняется, что другие режимы аутентификации Samba включают MD5, который не поддерживается для аутентификации в соответствии с правилами FIPS. Перед переключением на производственные системы уточните путь аутентификации у администраторов каталогов и хранилищ.

Контрольные точки для устранения неполадок

• Команда не найдена: установите crypto-policies-scriptsиз зарегистрированных репозиториев SLES, затем повторите попытку.
• Проверка сообщает о несогласованном состоянии: проверьте командную строку загрузки, состояние initramfs и политику криптографии одновременно. Не полагайтесь только на /proc/sys/crypto/fips_enabled.
• Система не загружается корректно: используйте консоль или описанный вами метод восстановления и восстановите предыдущую конфигурацию загрузки. Перед попыткой настройки параметров ядра вручную ознакомьтесь с рекомендациями службы поддержки для соответствующего пакета обновлений.
• Приложение перестало подключаться: определите отклоненный протокол, алгоритм, размер ключа или библиотеку. Обновите конфигурацию партнера или приложения до утвержденной; не ослабляйте системную политику для подавления ошибки без подтверждения соответствия требованиям.

Отключайте режим FIPS при изменении требований.

Если вам потребуется откатить изменения, SUSE задокументировала эту команду:

sudo fips-mode-setup --disable

После этого перезагрузите систему, а затем запустите команду sudo fips-mode-setup --checkдля подтверждения полученного состояния. Отключение режима FIPS не отменяет автоматически все изменения приложений, ключей или конфигурации, внесенные во время миграции. Проанализируйте их отдельно и задокументируйте конечное состояние системы.

Контрольный список для завершения практической работы

• Пакет обновлений и архитектура SLES зарегистрированы, и их сертификационный статус соответствует фактическим требованиям.
• Шаблон FIPS и утилита настройки были получены из поддерживаемых репозиториев для данного продукта.
• fips-mode-setup --enableПосле завершения процесса сервер перезагрузился и fips-mode-setup --checkсообщил об активности ожидаемых компонентов.
• Тесты приложений, сети, SSH, резервного копирования и аутентификации пройдены с использованием утвержденных алгоритмов.
• Точные проверенные модули, исполняемые файлы, версии пакетов и данные об эксплуатации были согласованы с ответственным за соответствие требованиям.

Официальные ссылки

• Руководство по безопасности и усилению защиты SUSE SLES 15 SP7: Обеспечение соответствия стандарту FIPS 140-3
• Руководство по безопасности и усилению защиты SUSE SLES 15 SP5: состояние и настройка FIPS.
• Примечания к выпуску SUSE SLES 15 GA: режим libica FIPS 140-2 и fips=1параметр
• Сертификаты безопасности SUSE и проверенные продукты
• Программа проверки криптографических модулей NIST