So deaktivieren Sie den FIPS-Modus unter CentOS/RHEL 7

Was ist FIPS-Konformität?

Die Federal Information Processing Standards (FIPS) sind Standards, die von der Regierung der Vereinigten Staaten für die Genehmigung kryptografischer Software festgelegt wurden. Das National Institute of Standards and Technology (NIST) hat bisher die Standards FIPS 140-1 und FIPS 140-2 herausgegeben, und FIPS PUB 140-2 ist der Standard für „Sicherheitsanforderungen für kryptografische Module“.

Die Schritte zum Aktivieren von FIPS unter CentOS/RHEL 7 umfassen die Installation des dracut-fips-Pakets. Dieses Paket stellt eine Datei, /etc/system-fips, bereit, die FIPS-fähige Software wie der openssh-Client verwendet, um zu prüfen, ob der FIPS-Modus im Kernel aktiviert ist oder nicht. Mit fips=1 während der Installation weist den Installer an, auch das Paket dracut-fips automatisch zu installieren.

FIPS-Modus deaktivieren

1. Entfernen Sie dracut-fips-Pakete.

# yum remove dracut-fips*

2. Erstellen Sie eine Sicherungskopie des FIPS-initramfs.

# cp -p /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).backup

Hinweis :Überprüfen Sie, ob die initramfs-Datei erstellt wurde oder nicht. Außerdem können Sie anstelle von /boot/ einen anderen Speicherort verwenden, um Platzprobleme zu vermeiden.

3. Erstellen Sie die initramfs-Datei neu:

# dracut -f

ODER

# dracut -f -v /boot/initramfs-$(uname -r).img $(uname -r)

4. Deaktivieren Sie fips=1 Wert aus der Kernel-Befehlszeile. Ändern Sie die Kernel-Befehlszeile des aktuellen Kernels in der grub.cfg und fügen Sie die folgende Option „fips=0 hinzu “ zu GRUB_CMDLINE_LINUX geben Sie /etc/default/grub ein Datei und erstellen Sie dann die Datei grub.cfg neu:

Beispiel dafür, wie die GRUB_CMDLINE_LINUX-Zeile aussieht:

# cat /etc/default/grub | grep GRUB_CMDLINE_LINUX=
GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=vg_os/root rd.lvm.lv=vg_os/swap rhgb quiet fips=0"

5. Änderungen an /etc/default/grub erfordern den Neuaufbau der Datei grub.cfg wie folgt:

# grub2-mkconfig -o /boot/grub2/grub.cfg

Oder wenn Sie einen UEFI-basierten Lauf haben:

# grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg

6. Starten Sie den Server neu, damit die Änderungen wirksam werden:

# shutdown -r now

7. Stellen Sie sicher, dass sich FIPS nach einem Neustart /proc/sys/crypto/fips_enabled nicht im Erzwingungsmodus befindet sollte 0 sein.

Beispiel:

# cat /proc/sys/crypto/fips_enabled
0