Aktivieren Sie den FIPS-Modus unter SLES 15 und überprüfen Sie den Boot-Status.

Wenn der FIPS-Status fehlt, trennen Sie die Boot-Einstellung von der Konformität.

Ein Server kann melden, dass der FIPS-Modus deaktiviert ist, selbst wenn der Besitzer Sicherheitsupdates installiert oder ein gehärtetes Profil ausgewählt hat. Unter SUSE Linux Enterprise Server 15 SP7 empfiehlt SUSE, die für das System benötigte FIPS-Unterstützung zu installieren, den Befehl `sudo apt-fip` auszuführen fips-mode-setup --enable, neu zu starten und den Status mit `sudo apt-fip` zu überprüfen fips-mode-setup --check. Diese Einstellung ändert die kryptografische Richtlinie des Systems und die Bootkonfiguration; sie beweist jedoch nicht automatisch, dass eine Arbeitslast oder das gesamte Betriebssystem eine Konformitätsanforderung erfüllt.

Beispiel: Stellen Sie sich ein fiktives Betriebsteam vor, das einen SLES 15 SP7-Server für einen internen Dienst vorbereitet, der FIPS-konforme Kryptografie erfordert. Das Team hat ein Wartungsfenster und Konsolenzugriff, weiß aber noch nicht, ob ein älterer Client einen inkompatiblen Algorithmus verwendet. Dies ist ein Grund, die genauen Anforderungen zu überprüfen und Abhängigkeiten zu testen, bevor Änderungen am Produktivsystem vorgenommen werden – kein Beweis für eine tatsächliche Bereitstellung oder einen Test.

1. Freigabe und Anforderung bestätigen.

Ermitteln Sie zunächst das Service Pack und die Architektur. Die genauen Befehle und Pakete können sich zwischen den SLES 15 Service Packs unterscheiden. Kopieren Sie daher keine SP7-Prozedur auf SP4, SP5 oder SP6, ohne vorher die SUSE-Dokumentation der jeweiligen Version zu prüfen.

cat /etc/os-release
uname -m

Für den Beispielserver protokolliert das Team die installierte SLES-Version, prüft das Änderungsfenster und stellt sicher, dass die Wiederherstellung über eine Konsole oder einen genehmigten Fernverwaltungspfad im Falle eines Neustartfehlers möglich ist. FIPS kann kryptografische Algorithmen oder Protokolle ablehnen, die eine Anwendung noch erwartet. Planen Sie Zeit ein, um die Anwendungen zu überprüfen, die TLS, SSH, Dateifreigabe, Java, Datenbanken oder andere kryptografische Bibliotheken verwenden.

Klären Sie außerdem, was der Prüfer genau verlangt. Die FIPS-140-3-Validierung bezieht sich auf ein kryptografisches Modul in einer definierten Konfiguration; die Aktivierung eines Betriebssystemmodus ist nicht gleichbedeutend mit der Validierung jedes Moduls, jeder Anwendung oder Bereitstellung. Laut SUSE-Leitfaden zu SLES 15 SP7 wird SP7 nicht zur NIST-FIPS-140-3-Zertifizierung eingereicht. SUSE veröffentlicht Informationen zu validierten Modulen und Konfigurationen separat. Falls ein Vertrag ein bestimmtes validiertes Modul erfordert, überprüfen Sie vor dem Fortfahren das genaue Modul, die Version, die Betriebsumgebung und das Zertifikat anhand der SUSE-Zertifizierungsunterlagen und des NIST-CMVP-Zertifikatseintrags .

2. Bereiten Sie die unterstützten FIPS-Komponenten vor.

SUSE empfiehlt, das patterns-base-fipsMuster für eine Neuinstallation auszuwählen. Wenn Sie ein laufendes System ändern, weist SUSE darauf hin, dass möglicherweise zusätzliche Anpassungen erforderlich sind, darunter die Neugenerierung von Schlüsseln und die Überprüfung der Konfiguration. Behandeln Sie einen bestehenden Host als kontrollierte Änderung und nicht als Zertifizierung mit nur einem Befehl.

Prüfen Sie, ob das Setup-Dienstprogramm vorhanden ist:

command -v fips-mode-setup
rpm -q crypto-policies-scripts

Das crypto-policies-scriptsPaket wird bereitgestellt fips-mode-setupund ist möglicherweise nicht installiert. Falls es fehlt, installieren Sie es aus den autorisierten SLES-Repositories des Systems:

sudo zypper install crypto-policies-scripts

Wenn der Zugriff auf das Repository, die Paketverfügbarkeit oder die erforderlichen FIPS-Pakete unklar sind, wenden Sie sich bitte an den Support und nutzen Sie die Zertifizierungsrichtlinien für Ihr spezifisches Service Pack. Verwenden Sie keine veralteten Blog-Befehle und fügen Sie keine Kernelparameter manuell aus einer anderen SLES-Version hinzu. Die aktuellen Anweisungen von SUSE SP7 verwenden das Setup-Dienstprogramm, um die Richtlinie anzuwenden und den Bootvorgang zu konfigurieren.

3. FIPS-Modus aktivieren und neu starten

Sobald der Host gemäß den lokalen Richtlinien gesichert, die Abhängigkeiten überprüft und das Wartungsfenster aktiv ist, aktivieren Sie den Modus:

sudo fips-mode-setup --enable

Überprüfen Sie die Ausgabe des Dienstprogramms. SUSE dokumentiert, dass es die FIPS-Kryptorichtlinie festlegt und einen Neustart erfordert. Der Neustart ist Teil des Vorgangs, da die Initramfs und die Boot-Konfiguration den neuen Modus widerspiegeln müssen. Betrachten Sie die erfolgreiche Rückgabe des Befehls vor dem Neustart nicht als Beweis dafür, dass der laufende Kernel bereits im FIPS-Modus arbeitet.

Starten Sie das System erst neu, wenn Sie die Auswirkungen auf den Dienst und den Wiederherstellungszugriff bestätigt haben:

sudo systemctl reboot

Im fiktiven Betriebsteam ist der Anwendungsinhaber während des Änderungszeitraums anwesend und kann nach der Serverwiederherstellung die vereinbarten Funktionstests durchführen. Befindet sich der Server an einem entfernten Standort und existiert kein Wiederherstellungspfad, muss dieser zunächst eingerichtet oder die Änderung verschoben werden. FIPS-Beschränkungen können nicht unterstützte Kryptografie beim Systemstart oder beim Starten von Diensten offenlegen.

4. Überprüfen Sie den Modus und anschließend die Arbeitslast.

Nachdem das System vollständig neu gestartet wurde, führen Sie die Statusprüfung von SUSE durch:

sudo fips-mode-setup --check

Für eine erfolgreiche SP7-Konfiguration gibt SUSE in der Dokumentation aus, dass der FIPS-Modus und das initramfs-FIPS-Modul aktiviert sind und die aktuelle Kryptorichtlinie auf der FIPS-Richtlinie basiert. Vergleichen Sie die tatsächliche Ausgabe mit der Dokumentation Ihres installierten Service Packs; verlassen Sie sich nicht allein auf eine Konfigurationsdatei oder darauf, dass der Neustart erfolgreich war.

Sie können auch den Aktivierungsstatus des Dienstprogramms abfragen:

sudo fips-mode-setup --is-enabled

SUSE dokumentiert dies als Statusprüfung mit einem Ergebnis ungleich null, wenn FIPS deaktiviert oder der Modus inkonsistent ist. Verwenden Sie den Exit-Status in der Automatisierung, anstatt die unstrukturierte Ausgabe zu durchsuchen. Testen Sie anschließend die für die Anforderung relevanten Dienste: Authentifizieren Sie sich mit der genehmigten SSH-Methode, stellen Sie eine TLS-Verbindung zu einem repräsentativen Endpunkt her und führen Sie anwendungsspezifische Integritätsprüfungen durch. Die Tatsache, dass ein Dienst aktiv ist, bedeutet nicht zwangsläufig, dass er ein genehmigtes kryptografisches Modul oder eine genehmigte Konfiguration verwendet.

Ein Kompatibilitätsbeispiel im SUSE-Leitfaden betrifft Samba/CIFS: In einer FIPS-Umgebung sollte die Kerberos-Authentifizierung verwendet werden, da die anderen Samba-Authentifizierungsmodi MD5 beinhalten. Diese Empfehlung ist nur anzuwenden, wenn der Host Samba-Dienste bereitstellt oder nutzt; andernfalls sollten die tatsächlich relevanten Protokolle und Bibliotheken berücksichtigt werden.

5. Fehler beheben, ohne die Anforderungen zu schwächen.

Wenn --checkgemeldet wird, dass FIPS nicht aktiviert ist, überprüfen Sie die vollständige Befehlsausgabe und stellen Sie sicher, dass der erforderliche Neustart durchgeführt wurde. Prüfen Sie die installierte Version und die zugehörigen Pakete und konsultieren Sie anschließend die entsprechende SUSE-Anleitung. Wenn der Modus als aktiviert gemeldet wird, eine Anwendung aber nicht funktioniert, überprüfen Sie die Protokolle dieser Anwendung und identifizieren Sie den verwendeten Algorithmus oder das Modul. Ersetzen oder konfigurieren Sie die Abhängigkeit durch eine genehmigte Option oder beantragen Sie eine dokumentierte Ausnahme vom Compliance-Verantwortlichen.

Wechseln Sie nicht zu einer permissiven Kryptorichtlinie zurück, nur um einen älteren Client unter dem Vorwand eines FIPS-konformen Betriebs zum Laufen zu bringen. Falls ein Rollback erforderlich ist, verwenden Sie den internen Genehmigungsprozess und erstellen Sie ein SUSE-Dokument, sudo fips-mode-setup --disablegefolgt von einem Neustart, um den Modus zu deaktivieren. Überprüfen Sie den Compliance-Status nach jedem Rollback erneut.

Vor dem Abschließen der Änderung speichern Sie die Service-Pack-Kennung, die Paketinformationen, die Befehlsausgabe, das Neustartprotokoll und die Anwendungstestergebnisse im Änderungsprotokoll des Systems. Im Beispielszenario ermöglicht diese Dokumentation dem Team, drei separate Fakten zu unterscheiden: Der Host meldet, dass der FIPS-Modus aktiviert ist, die vorgesehenen Dienste funktionieren und die ausgewählten kryptografischen Module erfüllen die Konformitätsanforderungen. Nur der zuständige Prüfer kann entscheiden, ob diese Fakten die geltende Kontrollmaßnahme erfüllen.

Für das maßgebliche Verfahren und versionsspezifische Hinweise konsultieren Sie bitte den SUSE Linux Enterprise Server 15 SP7 Security and Hardening Guide , die SUSE FIPS-Zertifizierungsinformationen und den entsprechenden Eintrag im NIST Cryptographic Module Validation Program .