Come disabilitare la modalità FIPS su CentOS/RHEL 7

Cos'è la conformità FIPS?

I Federal Information Processing Standards (FIPS) sono standard specificati dal governo degli Stati Uniti per l'approvazione del software crittografico. Il National Institute of Standards and Technology (NIST) ha finora emesso gli standard FIPS 140-1 e FIPS 140-2 e FIPS PUB 140-2 è lo standard per i "Requisiti di sicurezza per i moduli crittografici".

I passaggi per abilitare FIPS su CentOS/RHEL 7 includono l'installazione del pacchetto dracut-fips. Questo pacchetto fornisce un file, /etc/system-fips, che il software abilitato per FIPS, come il client openssh, utilizza per verificare se la modalità FIPS è abilitata o meno nel kernel. Utilizzando fips=1 durante l'installazione dice al programma di installazione di installare automaticamente anche il pacchetto dracut-fips.

Disabilitazione modalità FIPS

1. Rimuovi i pacchetti dracut-fips.

# yum remove dracut-fips*

2. Eseguire un backup di initramfs FIPS.

# cp -p /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).backup

Nota :controlla se il file initramfs è stato creato o meno. Inoltre, puoi usare un'altra posizione invece di /boot/ per evitare problemi di spazio.

3. Ricrea il file initramfs:

# dracut -f

O

# dracut -f -v /boot/initramfs-$(uname -r).img $(uname -r)

4. Disattiva fips=1 valore dalla riga di comando del kernel. Modifica la riga di comando del kernel del kernel corrente in grub.cfg aggiungendo la seguente opzione “fips=0 ” al GRUB_CMDLINE_LINUX digita /etc/default/grub file e quindi ricostruire il file grub.cfg:

Esempio di come appare la linea GRUB_CMDLINE_LINUX:

# cat /etc/default/grub | grep GRUB_CMDLINE_LINUX=
GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=vg_os/root rd.lvm.lv=vg_os/swap rhgb quiet fips=0"

5. Le modifiche a /etc/default/grub richiedono la ricostruzione del file grub.cfg come segue:

# grub2-mkconfig -o /boot/grub2/grub.cfg

Oppure se hai una corsa basata su UEFI:

# grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg

6. Riavvia il server per rendere effettive le modifiche:

# shutdown -r now

7. Verifica che FIPS non sia in modalità di applicazione dopo un riavvio /proc/sys/crypto/fips_enabled dovrebbe essere 0.

Esempio:

# cat /proc/sys/crypto/fips_enabled
0