搜索

8.2. 系统范围的加密策略

download PDF

系统范围的加密策略是一个系统组件,它配置核心加密子系统,包括 TLS、IPSec、SSH、DNSSec 和 Kerberos 协议。

原位升级过程会保留您在 RHEL 8 中使用的加密策略。例如,如果您在 RHEL 8 中使用 DEFAULT 加密策略,您的系统升级到 RHEL 9 也可以使用 DEFAULT。请注意,预定义的策略中的特定设置有所不同,RHEL 9 加密策略包含更为严格且更安全的默认值。例如,RHEL 9 DEFAULT 加密策略限制 SHA-1 使用签名,而 LEGACY 策略不再允许 DH 和 RSA 密码小于 2048 位。如需更多信息,请参阅 安全强化 文档中的 使用系统范围的加密策略 部分。自定义加密策略会在原位升级过程中保留。

要查看或更改当前系统范围的加密策略,请使用 update-crypto-policies 工具:

$ update-crypto-policies --show
DEFAULT

例如,以下命令可将系统范围内的加密策略切换到 FUTURE,这样可防止任何近期可能出现的安全攻击:

# update-crypto-policies --set FUTURE
Setting system policy to FUTURE

如果您需要使用 SHA-1 来验证现有或第三方加密签名,您可以输入以下命令启用它:

# update-crypto-policies --set DEFAULT:SHA1

或者,您可以将系统范围的加密策略切换到 LEGACY 策略。但是,LEGACY 还支持许多不安全的其他算法。

警告

启用 SHA 子策略会使您的系统比默认的 RHEL 9 设置更加容易。切换到 LEGACY 策略甚至不太安全,您应该谨慎使用。

您还可以自定义系统范围的加密策略。详情请参阅 使用子策略自定义系统范围的加密策略创建并设置自定义系统范围的加密策略 部分。如果您使用自定义加密策略,请考虑查看和更新策略,以便在加密和计算机硬件中提前缓解出现的威胁。

其他资源

Red Hat logoGithubRedditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务,以及可以信赖的内容,帮助红帽用户创新并实现他们的目标。

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情,请参阅红帽博客.

關於紅帽

我们提供强化的解决方案,使企业能够更轻松地跨平台和环境(从核心数据中心到网络边缘)工作。

© 2024 Red Hat, Inc.