Cómo deshabilitar el modo FIPS en CentOS/RHEL 7

¿Qué es el cumplimiento de FIPS?

Los Estándares Federales de Procesamiento de Información (FIPS) son estándares especificados por el Gobierno de los Estados Unidos para aprobar software criptográfico. El Instituto Nacional de Estándares y Tecnología (NIST) ha emitido hasta ahora los estándares FIPS 140-1 y FIPS 140-2, y FIPS PUB 140-2 es el estándar para "Requisitos de seguridad para módulos criptográficos".

Los pasos para habilitar FIPS en CentOS/RHEL 7 incluyen la instalación del paquete dracut-fips. Este paquete proporciona un archivo, /etc/system-fips, que el software habilitado para FIPS, como el cliente openssh, usa para saber si el modo FIPS está habilitado o no en el kernel. Uso de fips=1 durante la instalación le dice al instalador que también instale el paquete dracut-fips automáticamente.

Deshabilitar el modo FIPS

1. Elimina los paquetes dracut-fips.

# yum remove dracut-fips*

2. Realice una copia de seguridad de FIPS initramfs.

# cp -p /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).backup

Nota :compruebe si el archivo initramfs se ha creado o no. Además, puede usar otra ubicación en lugar de /boot/ para evitar problemas de espacio.

3. Vuelva a crear el archivo initramfs:

# dracut -f

O

# dracut -f -v /boot/initramfs-$(uname -r).img $(uname -r)

4. Deshabilitar fips=1 valor de la línea de comandos del núcleo. Modifique la línea de comando del kernel actual en el grub.cfg agregando la siguiente opción “fips=0 ” al GRUB_CMDLINE_LINUX ingrese el /etc/default/grub y luego reconstruya el archivo grub.cfg:

Ejemplo de cómo se ve la línea GRUB_CMDLINE_LINUX:

# cat /etc/default/grub | grep GRUB_CMDLINE_LINUX=
GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=vg_os/root rd.lvm.lv=vg_os/swap rhgb quiet fips=0"

5. Los cambios en /etc/default/grub requieren la reconstrucción del archivo grub.cfg de la siguiente manera:

# grub2-mkconfig -o /boot/grub2/grub.cfg

O si tiene una ejecución basada en UEFI:

# grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg

6. Reinicie el servidor para que los cambios surtan efecto:

# shutdown -r now

7. Verifique que FIPS no esté en modo de aplicación después de reiniciar /proc/sys/crypto/fips_enabled debería ser 0.

Ejemplo:

# cat /proc/sys/crypto/fips_enabled
0