10.2. セキュリティー

sq が FIPS モードで鍵を生成できない

Sequoia PGP ツールセットの sq ユーティリティーは、鍵の生成に非推奨の OpenSSL API を使用します。したがって、FIPS モードで実行されているシステムでは、sq を使用して鍵を生成することはできません。

NSS データベースのパスワードを更新すると ML-DSA のシードが破損する

ML-DSA 鍵の生成は、鍵を導出するのに十分なシードから始まります。ただし、後続の操作を高速化するために、鍵を拡張することもできます。NSS データベースに ML-DSA 鍵 (生成またはインポートしたもの) がある場合、拡張形式とシードの両方が保存されている可能性があります。NSS がデータベースの再暗号化を処理する方法にバグがあるため、データベースのパスワードを変更すると、シード属性が新しいパスワードに合わせて更新されません。その結果、以前のパスワードを知っていたとしても、シードの値は永久に失われます。

rpm-sequoia の PQC が crypto-policies で常に有効になる

RHEL 10.1 では、署名に使用されたアルゴリズムの 1 つがシステム全体の暗号化ポリシーで無効化されている場合、rpm-sequoia はデュアル署名された RPM パッケージの検証に失敗します。この問題は、耐量子計算機 (PQ) アルゴリズムが無効になっており、従来の暗号化と PQ 暗号化の両方で署名されたパッケージをインストールできないシステムでよく発生します。

4 つの libvirt サービスの SELinux ポリシールールが一時的に permissive モードに変更される

以前は、SELinux ポリシーは、従来のモノリシック libvirtd デーモンを新しいモジュラーデーモンセットに置き換えたことを反映して変更されていました。この変更には多くのシナリオのテストが必要になるため、次のサービスは一時的に SELinux の permissive モードに変更されていました。

pkcs11-provider を使用した FIPS モードで暗号化トークンが動作しない

システムが FIPS モードで実行されている場合、pkcs11-provider OpenSSL プロバイダーは正しく動作せず、OpenSSL TLS ツールキットはデフォルトのプロバイダーにフォールバックします。その結果、OpenSSL は PKCS #11 キーをロードできず、このシナリオでは暗号化トークンは機能しません。