Qu'est-ce que la conformité FIPS ?
Les normes fédérales de traitement de l'information (FIPS) sont des normes spécifiées par le gouvernement des États-Unis pour l'approbation des logiciels cryptographiques. Le National Institute of Standards and Technology (NIST) a jusqu'à présent publié les normes FIPS 140-1 et FIPS 140-2, et FIPS PUB 140-2 est la norme pour les "exigences de sécurité pour les modules cryptographiques".
Les étapes pour activer FIPS sur CentOS/RHEL 7 incluent l'installation du package dracut-fips. Ce paquet fournit un fichier, /etc/system-fips, que les logiciels compatibles FIPS, tels que le client openssh, utilisent pour savoir si le mode FIPS est activé ou non dans le noyau. Utilisation de fips=1 lors de l'installation indique au programme d'installation d'installer également automatiquement le package dracut-fips.
Désactiver le mode FIPS
1. Supprimez les packages dracut-fips.
# yum remove dracut-fips*
2. Effectuez une sauvegarde de l'initramfs FIPS.
# cp -p /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).backupRemarque :Vérifiez si le fichier initramfs a été créé ou non. De plus, vous pouvez utiliser un autre emplacement au lieu de /boot/ pour éviter les problèmes d'espace.
3. Recréez le fichier initramfs :
# dracut -f
OU
# dracut -f -v /boot/initramfs-$(uname -r).img $(uname -r)
4. Désactivez fips=1 valeur à partir de la ligne de commande du noyau. Modifiez la ligne de commande du noyau du noyau actuel dans le grub.cfg en ajoutant l'option suivante "fips=0 ” au GRUB_CMDLINE_LINUX entrez le /etc/default/grub puis reconstruisez le fichier grub.cfg :
Exemple de ce à quoi ressemble la ligne GRUB_CMDLINE_LINUX :
# cat /etc/default/grub | grep GRUB_CMDLINE_LINUX= GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=vg_os/root rd.lvm.lv=vg_os/swap rhgb quiet fips=0"
5. Les modifications apportées à /etc/default/grub nécessitent la reconstruction du fichier grub.cfg comme suit :
# grub2-mkconfig -o /boot/grub2/grub.cfg
Ou Si vous avez une exécution basée sur UEFI :
# grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg
6. Redémarrez le serveur pour que les modifications prennent effet :
# shutdown -r now
7. Vérifiez que FIPS n'est pas en mode d'application après un redémarrage /proc/sys/crypto/fips_enabled devrait être 0.
Exemple :
# cat /proc/sys/crypto/fips_enabled 0