6.8. FIPS モードが有効なシステムでの IPsec の使用

RHEL は、Federal Information Processing Standard (FIPS) モードにおいて、検証済みの暗号モジュールのみを使用します。FIPS モードでは、レガシープロトコルと暗号が無効になります。連邦政府基準に準拠するには、多くの場合、FIPS モードの有効化が必須となります。システムのセキュリティーも向上します。

RHEL に搭載されている Libreswan IPsec ツールは、FIPS に完全準拠しています。FIPS モードが有効な場合、Libreswan は認証済みの暗号モジュールを使用します。必要な設定は一切ありません。これは、Libreswan を新しい FIPS システムにインストールする場合でも、既存の Libreswan VPN で FIPS を有効にする場合でも機能します。

FIPS モードが有効な場合は、Libreswan が FIPS モードで実行されていることを確認できます。

# ipsec whack --fipsstatus
FIPS mode enabled

FIPS モードの Libreswan で許可されているアルゴリズムと暗号をリスト表示するには、次のように入力します。

# ipsec pluto --selftest 2>&1
...
FIPS Encryption algorithms:
  AES_CCM_16  {256,192,*128} IKEv1:  ESP  IKEv2:  ESP  FIPS   aes_ccm, aes_ccm_c
  AES_CCM_12  {256,192,*128} IKEv1:  ESP  IKEv2:  ESP  FIPS   aes_ccm_b
  AES_CCM_8   {256,192,*128} IKEv1:  ESP  IKEv2:  ESP  FIPS   aes_ccm_a
...