Cómo hacer que CentOS/RHEL 7 FIPS 140-2 sea compatible

Para que CentOS/RHEL 7 cumpla con la Publicación estándar de procesamiento de información federal (FIPS) 140-2, se necesitan algunos cambios para garantizar que se utilicen los módulos criptográficos certificados y que su sistema (núcleo y espacio de usuario) esté en modo FIPS.

Requisitos previos

1. Confirme que la versión actual de openssl admite fips:

# openssl version
OpenSSL 1.0.1e-fips 11 Feb 2013

2. Verifique la salida del siguiente comando. Muestra si el kernel ya está configurado para FIP. Mostrará 0 si es NO activado.

# cat /proc/sys/crypto/fips_enabled
0

3. Realice una copia de seguridad de la salida 'blkid' y 'df -h' en caso de que sea necesario para problemas futuros.

# blkid > /var/tmp/blkid_bkp_`date`
# df -h > /var/tmp/df_bkp_`date`

4. En /etc/sysconfig/prelink compruebe si el preenlace está desactivado. Esto se puede hacer configurando “PRELINKING=no ” en el archivo de configuración.

NOTA :Si no hay un enlace previo en el servidor, este paso se puede omitir.

5. Compruebe si el servidor está utilizando AESNI (Conjunto de instrucciones estándar de cifrado avanzado):

# cat /proc/cpuinfo | grep aes
# lsmod | grep aes

NOTA :Si en el servidor aes está funcionando, instale la dependencia de la biblioteca antes de continuar:dracut-fips-aesni.

Pasos

Activar FIP en el kernel:

1. Instale los dracut-fips.

# yum install dracut-fips

2. Realice una copia de seguridad de initramfs actual.

# cp -p /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).backup

Asegúrese de que se haya creado la copia de seguridad de initramfs.

3. Vuelva a crear el archivo initramfs:

# dracut -f

4. Modifique la línea de comandos del núcleo del núcleo actual en el archivo grub.cfg. En /etc/default/grub.cfg , en GRUB_CMDLINE_LINUX agregue la siguiente opción al final de la línea:“fips=1 ”

# cat /etc/default/grub | grep GRUB_CMDLINE_LINUX=
GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=vg_os/root rd.lvm.lv=vg_os/swap rhgb quiet fips=1"

5. Reconstruir el archivo grub.cfg de la siguiente manera:

# grub2-mkconfig -o /boot/grub2/grub.cfg

En caso de que el servidor esté configurado para usar basado en UEFI, ejecute el siguiente comando para reconstruir grub.cfg:

# grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg

6. Reinicie su sistema.

# shutdown -r now

7. Finalmente, verifique nuevamente si FIP ahora está habilitado. Mostrará 1 si está habilitado.

# cat /proc/sys/crypto/fips_enabled
1