Um CentOS/RHEL 7 mit der Federal Information Processing Standard Publication (FIPS) 140-2 kompatibel zu machen, sind einige Änderungen erforderlich, um sicherzustellen, dass die zertifizierten kryptografischen Module verwendet werden und sich Ihr System (Kernel und Userspace) im FIPS-Modus befindet.
Voraussetzungen
1. Bestätigen Sie, dass die aktuelle Openssl-Version fips unterstützt:
# openssl version OpenSSL 1.0.1e-fips 11 Feb 2013
2. Überprüfen Sie die Ausgabe des folgenden Befehls. Es zeigt an, ob der Kernel bereits für FIPs konfiguriert ist. Es wird 0 angezeigt wenn es NICHT ist aktiviert.
# cat /proc/sys/crypto/fips_enabled 0
3. Erstellen Sie eine Sicherungskopie der Ausgabe „blkid“ und „df -h“, falls sie für zukünftige Probleme benötigt wird.
# blkid > /var/tmp/blkid_bkp_`date` # df -h > /var/tmp/df_bkp_`date`
4. In /etc/sysconfig/prelink Überprüfen Sie, ob der Prelink deaktiviert ist. Dies kann durch die Konfiguration von „PRELINKING=no ” in der Konfigurationsdatei.
HINWEIS :Wenn auf dem Server kein Prelink vorhanden ist, kann dieser Schritt übersprungen werden.5. Überprüfen Sie, ob der Server AESNI (Advanced Encryption Standard Instruction Set) verwendet:
# cat /proc/cpuinfo | grep aes # lsmod | grep aesHINWEIS :Wenn auf dem Server AES funktioniert, installieren Sie die Bibliotheksabhängigkeit, bevor Sie fortfahren:dracut-fips-aesni.
Schritte
Machen Sie FIPs auf dem Kernel aktiv:
1. Installieren Sie die dracut-fips.
# yum install dracut-fips
2. Erstellen Sie eine Sicherungskopie des aktuellen initramfs.
# cp -p /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).backup
Stellen Sie sicher, dass das Backup des initramfs erstellt wurde.
3. Erstellen Sie die initramfs-Datei neu:
# dracut -f
4. Ändern Sie die Kernel-Befehlszeile des aktuellen Kernels in der Datei grub.cfg. In /etc/default/grub.cfg , auf GRUB_CMDLINE_LINUX Zeile fügen Sie die folgende Option am Ende der Zeile hinzu:„fips=1 ”
# cat /etc/default/grub | grep GRUB_CMDLINE_LINUX= GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=vg_os/root rd.lvm.lv=vg_os/swap rhgb quiet fips=1"
5. Erstellen Sie die Datei grub.cfg wie folgt neu:
# grub2-mkconfig -o /boot/grub2/grub.cfg
Falls der Server für die Verwendung von UEFI-basiert konfiguriert ist, führen Sie den folgenden Befehl aus, um die grub.cfg neu zu erstellen:
# grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg
6. Starten Sie Ihr System neu.
# shutdown -r now
7. Überprüfen Sie abschließend noch einmal, ob FIPs jetzt aktiviert ist. Es wird 1 angezeigt, wenn es aktiviert ist.
# cat /proc/sys/crypto/fips_enabled 1