Come rendere conforme a CentOS/RHEL 7 FIPS 140-2

Per rendere CentOS/RHEL 7 conforme alla Federal Information Processing Standard Publication (FIPS) 140-2, sono necessarie alcune modifiche per garantire che i moduli crittografici certificati vengano utilizzati e che il tuo sistema (kernel e spazio utente) sia in modalità FIPS.

Prerequisiti

1. Conferma che la versione corrente di openssl supporta fips:

# openssl version
OpenSSL 1.0.1e-fips 11 Feb 2013

2. Controllare l'output del comando seguente. Mostra se il kernel è già configurato per FIP. Mostrerà 0 se è NON abilitato.

# cat /proc/sys/crypto/fips_enabled
0

3. Fai un backup dell'output 'blkid' e 'df -h' nel caso fosse necessario per problemi futuri.

# blkid > /var/tmp/blkid_bkp_`date`
# df -h > /var/tmp/df_bkp_`date`

4. In /etc/sysconfig/prelink controlla se il prelink è disabilitato. Questo può essere fatto configurando “PRELINKING=no ” nel file di configurazione.

NOTA :Se non è presente alcun prelink nel server, questo passaggio può essere saltato.

5. Verifica se il server utilizza AESNI (Advanced Encryption Standard Instruction Set):

# cat /proc/cpuinfo | grep aes
# lsmod | grep aes

NOTA :Se nel server funziona aes, installa la dipendenza della libreria prima di procedere:dracut-fips-aesni.

Passaggi

Rendi attivi i FIP sul kernel:

1. Installa i dracut-fips.

# yum install dracut-fips

2. Fai un backup degli initramfs correnti.

# cp -p /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).backup

Assicurati che il backup di initramfs sia stato creato.

3. Ricrea il file initramfs:

# dracut -f

4. Modificare la riga di comando del kernel del kernel corrente nel file grub.cfg. In /etc/default/grub.cfg , su GRUB_CMDLINE_LINUX riga aggiungi la seguente opzione alla fine della riga:"fips=1 ”

# cat /etc/default/grub | grep GRUB_CMDLINE_LINUX=
GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=vg_os/root rd.lvm.lv=vg_os/swap rhgb quiet fips=1"

5. Ricompilare il file grub.cfg come segue:

# grub2-mkconfig -o /boot/grub2/grub.cfg

Nel caso in cui il server sia configurato per l'utilizzo basato su UEFI, eseguire il comando seguente per ricostruire grub.cfg :

# grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg

6. Riavvia il sistema.

# shutdown -r now

7. Infine, controlla di nuovo se FIP è ora abilitato. Mostrerà 1 se è abilitato.

# cat /proc/sys/crypto/fips_enabled
1