2.3. 将系统切换到 FIPS 模式
系统范围的加密策略包含一个策略级别,它根据联邦信息处理标准(FIPS)出版物 140 的要求启用加密算法。在内部启用或禁用 FIPS 模式的 fips-mode-setup
工具使用 FIPS
系统范围的加密策略。
使用 FIPS
系统范围的加密策略将系统切换到 FIPS 模式不能保证符合 FIPS 140 标准。将系统设置为 FIPS 模式后,可能无法重新生成所有加密密钥。例如,在带有用户加密密钥的现有 IdM 领域的情形,您无法重新生成所有密钥。
仅 在 RHEL 安装过程中启用 FIPS 模式 可确保系统使用 FIPS 批准的算法生成所有密钥,并持续监控测试。
fips-mode-setup
工具在内部使用 FIPS
策略。但是,在使用 --set FIPS
选项的 update-crypto-policies
命令之上,fips-mode-setup
使用 fips-finish-install
工具确保 FIPS dracut 模块的安装,它还向内核命令行中添加了 fips=1
引导选项,并重新生成初始 RAM 磁盘。
完成 FIPS 模式的设置后,如果不使系统处于不一致的状态,就不能关闭 FIPS 模式。如果您的场景需要这个变化,唯一的正确方法是完全重新安装系统。
流程
将系统切换到 FIPS 模式:
Copy to Clipboard Copied! Toggle word wrap Toggle overflow 重启您的系统以允许内核切换到 FIPS 模式:
reboot
# reboot
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
验证
重启后,您可以检查 FIPS 模式的当前状态:
fips-mode-setup --check
# fips-mode-setup --check FIPS mode is enabled.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow