Abilitare la modalità FIPS su SLES 15 e verificare lo stato di avvio

Quando lo stato FIPS non è presente, separare l'impostazione di avvio dalla conformità

Un server può segnalare che la modalità FIPS è disattivata anche quando il proprietario ha installato aggiornamenti di sicurezza o selezionato un profilo di sicurezza rafforzato. Su SUSE Linux Enterprise Server 15 SP7, il metodo documentato da SUSE prevede l'installazione del supporto FIPS necessario per il sistema, l'esecuzione di fips-mode-setup --enable, il riavvio e la conferma dello stato con fips-mode-setup --check. L'impostazione modifica i criteri crittografici del sistema e la configurazione di avvio; non dimostra, di per sé, che un carico di lavoro o l'intero sistema operativo soddisfino un requisito di conformità.

Esempio illustrativo: immaginiamo un team operativo fittizio che prepara un server SLES 15 SP7 per un servizio interno che richiede crittografia conforme a FIPS. Il team dispone di una finestra di manutenzione e dell'accesso alla console, ma non sa ancora se un client legacy utilizzi un algoritmo incompatibile. Questo è un motivo per verificare i requisiti esatti e testare le dipendenze prima di modificare l'host di produzione, non una prova di una reale implementazione o di un test.

1. Confermare la versione e i requisiti

Innanzitutto, identifica il service pack e l'architettura. I comandi e i pacchetti esatti possono variare tra i service pack di SLES 15, quindi non copiare una procedura di SP7 su SP4, SP5 o SP6 senza prima consultare la documentazione SUSE di quella specifica versione.

cat /etc/os-release
uname -m

Per il server di esempio, il team registra la versione di SLES installata, verifica la finestra di modifica e conferma che sia possibile ripristinarlo tramite console o un percorso di gestione remota approvato in caso di errore al riavvio. FIPS può rifiutare algoritmi o protocolli crittografici che un'applicazione si aspetta ancora. Pianifica del tempo per verificare le applicazioni che utilizzano TLS, SSH, condivisione di file, Java, database o altre librerie crittografiche.

È inoltre necessario chiarire cosa richiede effettivamente il valutatore. La convalida FIPS 140-3 si applica a un modulo crittografico in una configurazione definita; abilitare una modalità del sistema operativo non equivale a convalidare ogni modulo, applicazione o implementazione. La guida di SUSE per SLES 15 SP7 afferma che SP7 non verrà sottoposto alla certificazione NIST FIPS 140-3. SUSE pubblica separatamente informazioni sui moduli e le configurazioni convalidati. Se un contratto richiede un modulo convalidato specifico, prima di procedere, è necessario verificare il modulo esatto, la versione, l'ambiente operativo e il certificato confrontandoli con la documentazione di certificazione di SUSE e con il record del certificato NIST CMVP .

2. Preparare i componenti FIPS supportati

SUSE consiglia di selezionare il patterns-base-fipsmodello per una nuova installazione. Se si sta modificando un sistema in esecuzione, SUSE avverte che potrebbero essere necessari ulteriori interventi, tra cui la rigenerazione delle chiavi e la verifica della configurazione. Trattare un host esistente come una modifica controllata, non come una certificazione con un singolo comando.

Verifica la presenza dell'utilità di installazione:

command -v fips-mode-setup
rpm -q crypto-policies-scripts

Il crypto-policies-scriptspacchetto è fornito fips-mode-setupe potrebbe non essere installato. Se non è presente, installarlo dai repository SLES autorizzati del sistema:

sudo zypper install crypto-policies-scripts

Se l'accesso al repository, la disponibilità dei pacchetti o i pacchetti FIPS richiesti non sono chiari, interrompete l'esecuzione e consultate il canale di supporto e le linee guida per la certificazione specifiche del vostro Service Pack. Non sostituite un vecchio comando del blog né aggiungete manualmente un parametro del kernel copiato da una versione diversa di SLES. Le istruzioni attuali di SUSE per SP7 utilizzano l'utilità di configurazione per applicare i criteri e configurare il processo di avvio.

3. Abilitare la modalità FIPS e riavviare

Una volta eseguito il backup dell'host secondo le policy locali, verificate le dipendenze e attivata la finestra di manutenzione, abilitare la modalità:

sudo fips-mode-setup --enable

Esamina l'output dell'utility. SUSE documenta l'impostazione della policy crittografica FIPS e segnala la necessità di un riavvio. Il riavvio fa parte della procedura perché l'initramfs e la configurazione di avvio devono riflettere la nuova modalità. Non considerare il completamento positivo del comando prima del riavvio come prova che il kernel in esecuzione stia già operando in modalità FIPS.

Riavvia il sistema solo dopo aver verificato l'impatto sul servizio e aver ottenuto l'accesso al ripristino:

sudo systemctl reboot

Per il team operativo fittizio, il responsabile dell'applicazione è presente durante la finestra di modifica e può eseguire i test di base concordati dopo il ripristino del server. Se il server è remoto e non esiste un percorso di ripristino, è necessario prima stabilirne uno o rimandare la modifica. Le restrizioni FIPS possono esporre crittografia non supportata all'avvio o all'avvio dei servizi.

4. Verificare la modalità, quindi verificare il carico di lavoro

Dopo il riavvio completo del sistema, eseguire il controllo dello stato di SUSE:

sudo fips-mode-setup --check

Per una corretta configurazione di SP7, SUSE documenta l'output indicando che la modalità FIPS è abilitata, il modulo initramfs FIPS è abilitato e la policy crittografica corrente è basata sulla policy FIPS. Confronta l'output effettivo con la documentazione del service pack installato; non affidarti esclusivamente a un file di configurazione o al fatto che il riavvio sia andato a buon fine.

È inoltre possibile verificare lo stato di attivazione dell'utilità:

sudo fips-mode-setup --is-enabled

SUSE documenta questo come un controllo di stato con un risultato diverso da zero quando FIPS è disabilitato o quando la modalità non è coerente. Utilizzare lo stato di uscita nell'automazione anziché cercare nell'output formattato in modo approssimativo. Quindi testare i servizi rilevanti per il requisito: autenticarsi con il metodo SSH approvato, stabilire una connessione TLS a un endpoint rappresentativo ed eseguire controlli di integrità specifici dell'applicazione. Il fatto che un servizio sia attivo non stabilisce che utilizzi un modulo o una configurazione crittografica approvati.

Un esempio di compatibilità presente nella guida di SUSE riguarda Samba/CIFS: in un ambiente FIPS, utilizzare l'autenticazione Kerberos poiché le altre modalità di autenticazione Samba includono MD5. Applicare tale indicazione solo se l'host fornisce o utilizza servizi Samba; in caso contrario, concentrarsi sui protocolli e sulle librerie effettivamente rilevanti.

5. Risolvere i guasti senza indebolire il requisito

Se --checkviene segnalato che FIPS non è abilitato, esaminare l'output completo del comando e verificare che sia avvenuto il riavvio richiesto. Controllare la versione installata e il set di pacchetti, quindi consultare la guida SUSE corrispondente. Se la modalità risulta abilitata ma un'applicazione non funziona, esaminare i log dell'applicazione e identificare l'algoritmo o il modulo che sta tentando di utilizzare. Sostituire o riconfigurare la dipendenza con un'opzione approvata oppure ottenere un'eccezione documentata dal responsabile della conformità.

Non tornare a una policy crittografica permissiva solo per far funzionare un client legacy pur dichiarando di operare in conformità con FIPS. Se è necessario un rollback, utilizzare la procedura di gestione degli incidenti e di approvazione dell'organizzazione; sudo fips-mode-setup --disableconsultare la documentazione SUSE e riavviare il sistema per disabilitare la modalità. Rivalutare lo stato di conformità dopo qualsiasi rollback.

Prima di chiudere la modifica, salvare l'identificazione del service pack, le informazioni sul pacchetto, l'output del comando, il record di riavvio e i risultati dei test dell'applicazione nel record delle modifiche del sistema. Nello scenario illustrativo, queste prove consentono al team di distinguere tre fatti distinti: l'host segnala la modalità FIPS abilitata, i servizi previsti funzionano e i moduli crittografici selezionati corrispondono al requisito di conformità. Solo il valutatore responsabile può decidere se tali fatti soddisfano il controllo applicabile.

Per la procedura ufficiale e le avvertenze specifiche della versione, consultare la Guida alla sicurezza e alla protezione di SUSE Linux Enterprise Server 15 SP7 , le informazioni sulla certificazione SUSE FIPS e il relativo documento del programma NIST Cryptographic Module Validation Program .