2.3. 将系统切换到 FIPS 模式
系统范围的加密策略包含一个策略级别,它根据联邦信息处理标准(FIPS)出版物 140 的要求启用加密算法。在内部启用或禁用 FIPS 模式的 fips-mode-setup
工具使用 FIPS
系统范围的加密策略。
使用 FIPS 系统范围的加密策略将系统切换到 FIPS
模式不能保证符合 FIPS 140 标准。将系统设置为 FIPS 模式后,可能无法重新生成所有加密密钥。例如,在具有用户加密密钥的现有 IdM 域中,您无法重新生成所有密钥。
仅 在 RHEL 安装过程中启用 FIPS 模式 可确保系统使用 FIPS 批准的算法生成所有密钥,并持续监控测试。
fips-mode-setup
工具在内部使用 FIPS
策略。但是,在使用 --set FIPS
选项的 update-crypto-policies
命令之上,fips-mode-setup
使用 fips-finish-install
工具确保 FIPS dracut 模块的安装,它还在内核命令行中添加 fips=1
引导选项,并重新生成初始 RAM 磁盘。
完成 FIPS 模式的设置后,如果不将系统置于不一致状态,您无法关闭 FIPS 模式。如果您的场景需要这个更改,则唯一的正确方法是完全重装系统。
步骤
将系统切换到 FIPS 模式:
Copy to Clipboard Copied! Toggle word wrap Toggle overflow 重启您的系统以允许内核切换到 FIPS 模式:
reboot
# reboot
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
验证
重启后,您可以检查 FIPS 模式的当前状态:
fips-mode-setup --check
# fips-mode-setup --check FIPS mode is enabled.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow