Comment rendre CentOS/RHEL 7 conforme FIPS 140-2

Pour rendre CentOS/RHEL 7 conforme à la Federal Information Processing Standard Publication (FIPS) 140-2, certaines modifications sont nécessaires pour garantir que les modules cryptographiques certifiés sont utilisés et que votre système (noyau et espace utilisateur) est en mode FIPS.

Pré-requis

1. Confirmez que la version actuelle d'openssl prend en charge fips :

# openssl version
OpenSSL 1.0.1e-fips 11 Feb 2013

2. Vérifiez la sortie de la commande suivante. Il indique si le noyau est déjà configuré pour les FIP. Il affichera 0 si ce n'est PAS activé.

# cat /proc/sys/crypto/fips_enabled
0

3. Faites une sauvegarde de la sortie 'blkid' et 'df -h' juste au cas où cela serait nécessaire pour de futurs problèmes.

# blkid > /var/tmp/blkid_bkp_`date`
# df -h > /var/tmp/df_bkp_`date`

4. Dans /etc/sysconfig/prelink vérifiez si le prélien est désactivé. Cela peut être fait en configurant "PRELINKING=no ” dans le fichier de configuration.

REMARQUE :S'il n'y a pas de pré-liaison dans le serveur, cette étape peut être ignorée.

5. Vérifiez si le serveur utilise AESNI (Advanced Encryption Standard Instruction Set):

# cat /proc/cpuinfo | grep aes
# lsmod | grep aes

REMARQUE :Si sur le serveur aes fonctionne, installez la dépendance de la bibliothèque avant de continuer :dracut-fips-aesni.

Étapes

Activez les FIP sur le noyau :

1. Installez les dracut-fips.

# yum install dracut-fips

2. Effectuez une sauvegarde des initramfs actuels.

# cp -p /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).backup

Assurez-vous que la sauvegarde de l'initramfs a été créée.

3. Recréez le fichier initramfs :

# dracut -f

4. Modifiez la ligne de commande du noyau du noyau actuel dans le fichier grub.cfg. Dans /etc/default/grub.cfg , sur GRUB_CMDLINE_LINUX ligne ajouter l'option suivante à la fin de la ligne :"fips=1 ”

# cat /etc/default/grub | grep GRUB_CMDLINE_LINUX=
GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=vg_os/root rd.lvm.lv=vg_os/swap rhgb quiet fips=1"

5. Recréez le fichier grub.cfg comme suit :

# grub2-mkconfig -o /boot/grub2/grub.cfg

Si le serveur est configuré pour utiliser UEFI, exécutez la commande suivante pour reconstruire grub.cfg :

# grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg

6. Redémarrez votre système.

# shutdown -r now

7. Enfin, vérifiez à nouveau si FIP est maintenant activé. Il affichera 1 s'il est activé.

# cat /proc/sys/crypto/fips_enabled
1