15.6. 使用子属性自定义系统范围的加密策略

流程

1. 签出到 /etc/crypto-policies/policies/modules/ 目录：

   # cd /etc/crypto-policies/policies/modules/

   Copy to Clipboard Toggle word wrap

2. 为您的调整创建子政策，例如：

   # touch MYCRYPTO-1.pmod
   # touch SCOPES-AND-WILDCARDS.pmod

   Copy to Clipboard Toggle word wrap
   重要

   在策略模块的文件名中使用大写字母。

3. 在您选择的文本编辑器中打开策略模块并插入修改系统范围加密策略的选项，例如：

   # vi MYCRYPTO-1.pmod

   Copy to Clipboard Toggle word wrap

   min_rsa_size = 3072
   hash = SHA2-384 SHA2-512 SHA3-384 SHA3-512

   Copy to Clipboard Toggle word wrap

   # vi SCOPES-AND-WILDCARDS.pmod

   Copy to Clipboard Toggle word wrap

   # Disable the AES-128 cipher, all modes
   cipher = -AES-128-*
   
   # Disable CHACHA20-POLY1305 for the TLS protocol (OpenSSL, GnuTLS, NSS, and OpenJDK)
   cipher@TLS = -CHACHA20-POLY1305
   
   # Allow using the FFDHE-1024 group with the SSH protocol (libssh and OpenSSH)
   group@SSH = FFDHE-1024+
   
   # Disable all CBC mode ciphers for the SSH protocol (libssh and OpenSSH)
   cipher@SSH = -*-CBC
   
   # Allow the AES-256-CBC cipher in applications using libssh
   cipher@libssh = AES-256-CBC+

   Copy to Clipboard Toggle word wrap
4. 将更改保存到模块文件中。

5. 将您的策略调整应用到 DEFAULT 系统范围加密策略级别：

   # update-crypto-policies --set DEFAULT:MYCRYPTO-1:SCOPES-AND-WILDCARDS

   Copy to Clipboard Toggle word wrap

6. 要使您的加密设置对已经运行的服务和应用程序有效，请重启系统：

   # reboot

   Copy to Clipboard Toggle word wrap