Включите режим FIPS на SLES 15 и проверьте состояние загрузки.

Если статус FIPS отсутствует, отделите параметры загрузки от соответствия требованиям.

Сервер может сообщать о том, что режим FIPS отключен, даже если его владелец установил обновления безопасности или выбрал усиленный профиль. В SUSE Linux Enterprise Server 15 SP7 описанный SUSE метод заключается в установке необходимой для системы поддержки FIPS, запуске команды fips-mode-setup --enable, перезагрузке и подтверждении состояния с помощью команды fips-mode-setup --check. Эта настройка изменяет криптографическую политику системы и конфигурацию загрузки; сама по себе она не доказывает, что рабочая нагрузка или вся операционная система соответствуют требованиям безопасности.

Показательный пример: Представьте себе вымышленную операционную группу, подготавливающую один сервер SLES 15 SP7 для внутреннего сервиса, требующего криптографии, соответствующей стандарту FIPS. У группы есть окно для технического обслуживания и доступ к консоли, но она еще не знает, использует ли устаревший клиент несовместимый алгоритм. Это повод проверить точные требования и протестировать зависимости, прежде чем менять производственный хост, а не свидетельство реального развертывания или тестирования.

1. Подтвердите выпуск и требования.

Сначала определите пакет обновлений и архитектуру. Точные команды и пакеты могут отличаться в разных пакетах обновлений SLES 15, поэтому не копируйте процедуру из SP7 в SP4, SP5 или SP6, не проверив документацию SUSE для соответствующего выпуска.

cat /etc/os-release
uname -m

В качестве примера, команда записывает установленную версию SLES, проверяет окно изменений и подтверждает возможность восстановления через консоль или утвержденный путь удаленного управления в случае неудачной перезагрузки. FIPS может отклонять криптографические алгоритмы или протоколы, которые приложение все еще ожидает. Запланируйте время для проверки приложений, использующих TLS, SSH, обмен файлами, Java, базы данных или другие криптографические библиотеки.

Также необходимо уточнить, что именно требуется эксперту. Проверка по стандарту FIPS 140-3 применяется к криптографическому модулю в определенной конфигурации; включение режима операционной системы не то же самое, что проверка каждого модуля, приложения или развертывания. В руководстве SUSE по SLES 15 SP7 указано, что SP7 не будет представлен на сертификацию NIST FIPS 140-3. SUSE отдельно публикует информацию о проверенных модулях и конфигурациях. Если контракт требует проверки конкретного модуля, перед продолжением необходимо подтвердить точный модуль, версию, операционную среду и сертификат, сравнив их с сертификационными материалами SUSE и записью сертификата NIST CMVP .

2. Подготовьте поддерживаемые компоненты FIPS.

SUSE рекомендует выбирать этот patterns-base-fipsшаблон для новой установки. Если вы меняете работающую систему, SUSE предупреждает, что могут потребоваться дополнительные корректировки, включая перегенерацию ключей и аудит установки. Рассматривайте существующий хост как контролируемое изменение, а не как сертификацию одной командой.

Проверьте наличие утилиты установки:

command -v fips-mode-setup
rpm -q crypto-policies-scripts

Данный crypto-policies-scriptsпакет предоставляет необходимые компоненты fips-mode-setup, но может быть не установлен. Если он отсутствует, установите его из авторизованных репозиториев SLES системы:

sudo zypper install crypto-policies-scripts

Если доступ к репозиторию, наличие пакетов или необходимые пакеты FIPS неясны, остановитесь и воспользуйтесь каналом поддержки и рекомендациями по сертификации для вашего конкретного пакета обновлений. Не заменяйте старую команду из блога и не добавляйте вручную параметр ядра, скопированный из другого выпуска SLES. В текущих инструкциях SUSE для SP7 используется утилита установки для применения политики и настройки процесса загрузки.

3. Включите режим FIPS и перезагрузите устройство.

После того, как резервная копия хоста будет создана в соответствии с локальной политикой, зависимости будут проверены, и окно обслуживания станет активным, включите режим:

sudo fips-mode-setup --enable

Просмотрите вывод утилиты. В документации SUSE указано, что она устанавливает криптографическую политику FIPS и сообщает о необходимости перезагрузки. Перезагрузка является частью процедуры, поскольку конфигурация initramfs и загрузки должна отражать новый режим. Не следует рассматривать успешный возврат команды до перезагрузки как доказательство того, что работающее ядро ​​уже работает в режиме FIPS.

Перезагрузку следует производить только после подтверждения влияния на работу сервиса и наличия доступа к восстановлению:

sudo systemctl reboot

В вымышленной операционной группе владелец приложения присутствует во время окна внесения изменений и может запустить согласованные дымовые тесты после возвращения сервера. Если сервер находится удаленно и путь восстановления отсутствует, сначала его следует установить или отложить внесение изменений. Ограничения FIPS могут привести к уязвимости неподдерживаемой криптографии при загрузке или запуске служб.

4. Проверьте режим работы, затем проверьте рабочую нагрузку.

После полной перезагрузки системы выполните проверку состояния SUSE:

sudo fips-mode-setup --check

Для успешной настройки SP7 в документации SUSE должно быть указано, что режим FIPS включен, модуль initramfs FIPS включен, а текущая криптографическая политика основана на политике FIPS. Сравните фактический вывод с документацией для установленного пакета обновлений; не полагайтесь только на файл конфигурации или на то, что перезагрузка завершилась успешно.

Вы также можете узнать статус активации утилиты:

sudo fips-mode-setup --is-enabled

В документации SUSE это описывается как проверка состояния с ненулевым результатом, когда FIPS отключен или когда режим несовместим. Используйте код завершения в автоматизации, а не ищите информацию в нечетко отформатированном выводе. Затем протестируйте службы, которые важны для выполнения требований: аутентифицируйтесь с помощью утвержденного метода SSH, установите TLS-соединение с репрезентативной конечной точкой и выполните проверки работоспособности, специфичные для приложения. Активность службы не означает, что она использует утвержденный криптографический модуль или конфигурацию.

В руководстве SUSE приводится один пример совместимости, касающийся Samba/CIFS: в среде, соответствующей стандарту FIPS, используйте аутентификацию Kerberos, поскольку другие режимы аутентификации Samba включают MD5. Применяйте эти рекомендации только в том случае, если хост предоставляет или использует сервисы Samba; в противном случае сосредоточьтесь на протоколах и библиотеках, которые фактически находятся в зоне действия.

5. Устраняйте неполадки, не ослабляя требований.

Если --checkсистема сообщает, что FIPS не включен, просмотрите полный вывод команды и убедитесь, что необходимая перезагрузка произошла. Проверьте установленную версию и набор пакетов, затем обратитесь к соответствующему руководству SUSE. Если режим указан как включенный, но приложение не работает, изучите журналы этого приложения и определите алгоритм или модуль, который оно пытается использовать. Замените или перенастройте зависимость на утвержденный вариант или получите документированное исключение от ответственного за соответствие требованиям.

Не следует возвращаться к разрешительной политике криптографии только для того, чтобы заставить работать устаревший клиент, заявляя при этом о соответствии требованиям FIPS. Если необходим откат, используйте процедуру обработки инцидентов и утверждения организации; SUSE документирует это, sudo fips-mode-setup --disableа затем перезагружает систему для отключения режима. После любого отката необходимо повторно оценить соответствие требованиям.

Перед закрытием изменения сохраните идентификатор пакета обновлений, информацию о пакете, вывод команд, запись о перезагрузке и результаты тестирования приложения в записи об изменении системы. В приведенном примере эти данные позволяют команде различить три отдельных факта: хост сообщает о включенном режиме FIPS, предполагаемая функция служб и выбранные криптографические модули соответствуют требованиям соответствия. Только ответственный эксперт может решить, удовлетворяют ли эти факты применимому контролю.

Для получения подробной информации о процедуре и особенностях, специфичных для конкретной версии, обратитесь к руководству по безопасности и усилению защиты SUSE Linux Enterprise Server 15 SP7 , информации о сертификации SUSE FIPS и соответствующему документу программы проверки криптографических модулей NIST .