Habilite el modo FIPS en SLES 15 y verifique el estado de arranque.

Cuando falte el estado FIPS, separe la configuración de arranque del cumplimiento.

Un servidor puede informar que el modo FIPS está desactivado incluso cuando su propietario ha instalado actualizaciones de seguridad o seleccionado un perfil reforzado. En SUSE Linux Enterprise Server 15 SP7, el método documentado por SUSE consiste en instalar la compatibilidad con FIPS necesaria para el sistema, ejecutar fips-mode-setup --enable, reiniciar y confirmar el estado con fips-mode-setup --check. La configuración modifica la política criptográfica del sistema y la configuración de arranque; por sí sola, no demuestra que una carga de trabajo o todo el sistema operativo cumpla con un requisito de conformidad.

Ejemplo ilustrativo: Imaginemos un equipo de operaciones ficticio que prepara un servidor SLES 15 SP7 para un servicio interno que requiere criptografía aprobada por FIPS. El equipo dispone de una ventana de mantenimiento y acceso a la consola, pero aún desconoce si un cliente heredado utiliza un algoritmo incompatible. Esto justifica verificar los requisitos exactos y probar las dependencias antes de modificar el host de producción, pero no constituye una prueba o implementación real.

1. Confirmar la liberación y el requisito

Primero, identifique el paquete de servicio y la arquitectura. Los comandos y paquetes exactos pueden variar entre los paquetes de servicio de SLES 15, por lo que no copie un procedimiento de SP7 en SP4, SP5 o SP6 sin consultar la documentación de SUSE de esa versión.

cat /etc/os-release
uname -m

Para el servidor de ejemplo, el equipo registra la versión de SLES instalada, verifica su ventana de cambios y confirma que puede recuperarse mediante una consola o una ruta de administración remota aprobada si falla el reinicio. FIPS puede rechazar algoritmos o protocolos criptográficos que una aplicación aún espera. Programe tiempo para verificar las aplicaciones que usan TLS, SSH, uso compartido de archivos, Java, bases de datos u otras bibliotecas criptográficas.

Aclare también qué es lo que el evaluador requiere. La validación FIPS 140-3 se aplica a un módulo criptográfico en una configuración definida; habilitar un modo de sistema operativo no es lo mismo que validar cada módulo, aplicación o implementación. La guía SLES 15 SP7 de SUSE indica que SP7 no se presentará para la certificación NIST FIPS 140-3. SUSE publica por separado información sobre módulos y configuraciones validados. Si un contrato requiere un módulo validado específico, confirme el módulo, la versión, el entorno operativo y el certificado exactos con el material de certificación de SUSE y el registro del certificado CMVP de NIST antes de continuar.

2. Prepare los componentes FIPS compatibles.

SUSE recomienda seleccionar el patterns-base-fipspatrón para una instalación nueva. Si está modificando un sistema en funcionamiento, SUSE advierte que podrían ser necesarios ajustes adicionales, como la regeneración de claves y la auditoría de la configuración. Considere un host existente como un cambio controlado, no como una certificación automática.

Compruebe si la utilidad de configuración está presente:

command -v fips-mode-setup
rpm -q crypto-policies-scripts

El crypto-policies-scriptspaquete se proporciona fips-mode-setupy puede que no esté instalado. Si no está presente, instálelo desde los repositorios SLES autorizados del sistema:

sudo zypper install crypto-policies-scripts

Si no está claro el acceso al repositorio, la disponibilidad de paquetes o los paquetes FIPS necesarios, deténgase y utilice el canal de soporte y la guía de certificación correspondiente a su Service Pack. No sustituya un comando antiguo del blog ni añada manualmente un parámetro del kernel copiado de una versión diferente de SLES. Las instrucciones actuales de SUSE para el SP7 utilizan la utilidad de configuración para aplicar la política y configurar el proceso de arranque.

3. Habilite el modo FIPS y reinicie.

Una vez que se haya realizado la copia de seguridad del host de acuerdo con la política local, se hayan revisado las dependencias y la ventana de mantenimiento esté activa, habilite el modo:

sudo fips-mode-setup --enable

Revise la salida de la utilidad. SUSE documenta que configura la política criptográfica FIPS e informa que se requiere un reinicio. El reinicio forma parte del procedimiento porque el initramfs y la configuración de arranque deben reflejar el nuevo modo. No considere que el comando se ejecute correctamente antes del reinicio sea prueba de que el kernel en ejecución ya está funcionando en modo FIPS.

Reinicie el sistema únicamente cuando haya confirmado el impacto en el servicio y tenga acceso para la recuperación:

sudo systemctl reboot

Para el equipo de operaciones ficticio, el propietario de la aplicación está presente durante el período de cambio y puede ejecutar las pruebas de humo acordadas una vez que el servidor vuelva a estar operativo. Si el servidor es remoto y no existe una ruta de recuperación, primero debe establecerse una o posponerse el cambio. Las restricciones FIPS pueden exponer criptografía no compatible durante el arranque o al iniciar los servicios.

4. Verifique el modo y luego verifique la carga de trabajo.

Una vez que el sistema se haya reiniciado por completo, ejecute la comprobación de estado de SUSE:

sudo fips-mode-setup --check

Para una configuración exitosa de SP7, la documentación de SUSE indica que el modo FIPS está habilitado, el módulo FIPS de initramfs está habilitado y la política criptográfica actual se basa en la política FIPS. Compare la información obtenida con la documentación del Service Pack instalado; no se fíe únicamente del archivo de configuración ni de que el reinicio se haya completado.

También puede consultar el estado de habilitación de la utilidad:

sudo fips-mode-setup --is-enabled

SUSE documenta esto como una comprobación de estado con un resultado distinto de cero cuando FIPS está deshabilitado o cuando el modo es inconsistente. Utilice el estado de salida en la automatización en lugar de buscar en la salida con formato poco definido. A continuación, pruebe los servicios relevantes para el requisito: autentique con el método SSH aprobado, establezca una conexión TLS con un punto final representativo y ejecute comprobaciones de estado específicas de la aplicación. Que un servicio esté activo no implica que utilice un módulo o configuración criptográfica aprobados.

Un ejemplo de compatibilidad que se menciona en la guía de SUSE se refiere a Samba/CIFS: en un entorno FIPS, utilice la autenticación Kerberos, ya que los demás modos de autenticación de Samba incluyen MD5. Aplique esta recomendación solo si el host proporciona o consume servicios Samba; de lo contrario, céntrese en los protocolos y las bibliotecas que realmente entran dentro del ámbito de aplicación.

5. Resolver los fallos sin debilitar el requisito.

Si --checkse informa que FIPS no está habilitado, revise la salida completa del comando y confirme que se haya reiniciado el sistema. Verifique la versión y el conjunto de paquetes instalados y consulte la guía de SUSE correspondiente. Si el modo aparece como habilitado, pero una aplicación falla, inspeccione los registros de dicha aplicación e identifique el algoritmo o módulo que intenta usar. Reemplace o reconfigure la dependencia con una opción aprobada u obtenga una excepción documentada del responsable de cumplimiento.

No vuelva a una política criptográfica permisiva solo para que un cliente antiguo funcione alegando que cumple con la normativa FIPS. Si es necesario revertir la operación, utilice el proceso de gestión de incidentes y aprobación de la organización; consulte la documentación de SUSE y, sudo fips-mode-setup --disablea continuación, reinicie el sistema para desactivar el modo. Reevalúe el estado de cumplimiento tras cualquier reversión.

Antes de cerrar el cambio, guarde la identificación del paquete de servicio, la información del paquete, la salida del comando, el registro de reinicio y los resultados de las pruebas de la aplicación en el registro de cambios del sistema. En el escenario ilustrativo, esta información permite al equipo distinguir tres hechos distintos: el host informa que el modo FIPS está habilitado, los servicios previstos funcionan y los módulos criptográficos seleccionados cumplen con el requisito de conformidad. Solo el evaluador responsable puede decidir si estos hechos satisfacen el control aplicable.

Para conocer el procedimiento oficial y las advertencias específicas de cada versión, consulte la Guía de seguridad y protección de SUSE Linux Enterprise Server 15 SP7 , la información de certificación FIPS de SUSE y el registro correspondiente del Programa de validación de módulos criptográficos del NIST .