Activez le mode FIPS sur SLES 15 et vérifiez l'état de démarrage

En l'absence d'état FIPS, dissociez le paramètre de démarrage de la conformité.

Un serveur peut signaler que le mode FIPS est désactivé même si son propriétaire a installé des mises à jour de sécurité ou sélectionné un profil de sécurité renforcé. Sur SUSE Linux Enterprise Server 15 SP7, la méthode documentée par SUSE consiste à installer le support FIPS nécessaire au système, à exécuter la commande appropriée fips-mode-setup --enable, à redémarrer et à confirmer l'état du fips-mode-setup --checkmode FIPS. Ce paramètre modifie la politique cryptographique du système et la configuration de démarrage ; il ne prouve pas, à lui seul, qu'une charge de travail ou l'ensemble du système d'exploitation répond aux exigences de conformité.

Exemple illustratif : Imaginons une équipe d’exploitation fictive préparant un serveur SLES 15 SP7 pour un service interne exigeant un chiffrement conforme à la norme FIPS. L’équipe dispose d’une fenêtre de maintenance et d’un accès console, mais ignore encore si un client existant utilise un algorithme incompatible. Il s’agit d’une raison de vérifier les exigences exactes et de tester les dépendances avant de modifier le serveur de production ; cela ne constitue pas la preuve d’un déploiement ou d’un test réel.

1. Confirmer la version et les exigences

Commencez par identifier le Service Pack et l'architecture. Les commandes et les paquets exacts peuvent différer d'un Service Pack SLES 15 à l'autre ; par conséquent, ne copiez pas une procédure SP7 sur SP4, SP5 ou SP6 sans consulter la documentation SUSE correspondante.

cat /etc/os-release
uname -m

Pour le serveur d'exemple, l'équipe enregistre la version SLES installée, vérifie sa fenêtre de modification et s'assure qu'il peut être restauré via une console ou une méthode de gestion à distance approuvée en cas d'échec de redémarrage. La norme FIPS peut rejeter les algorithmes ou protocoles cryptographiques qu'une application attend encore. Il est important de prévoir du temps pour vérifier les applications qui utilisent TLS, SSH, le partage de fichiers, Java, les bases de données ou d'autres bibliothèques cryptographiques.

Il convient également de préciser les exigences exactes de l'évaluateur. La validation FIPS 140-3 s'applique à un module cryptographique dans une configuration définie ; l'activation d'un mode du système d'exploitation ne revient pas à valider chaque module, application ou déploiement. Le guide SLES 15 SP7 de SUSE indique que la version SP7 ne sera pas soumise à la certification NIST FIPS 140-3. SUSE publie séparément des informations sur les modules et configurations validés. Si un contrat exige un module validé spécifique, il est impératif de vérifier le module exact, sa version, l'environnement d'exploitation et le certificat auprès de la documentation de certification SUSE et du registre des certificats NIST CMVP avant de poursuivre.

2. Préparer les composants FIPS pris en charge

SUSE recommande de sélectionner le patterns-base-fipsmodèle pour une nouvelle installation. Si vous modifiez un système en cours d'exécution, SUSE vous avertit que des ajustements supplémentaires peuvent être nécessaires, notamment la régénération des clés et la vérification de la configuration. Considérez une installation existante comme une modification contrôlée, et non comme une certification en une seule commande.

Vérifiez si l'utilitaire d'installation est présent :

command -v fips-mode-setup
rpm -q crypto-policies-scripts

Ce crypto-policies-scriptspaquet est fourni fips-mode-setupmais ne peut pas être installé. S'il est absent, installez-le depuis les dépôts SLES autorisés du système :

sudo zypper install crypto-policies-scripts

Si l'accès aux dépôts, la disponibilité des paquets ou les paquets FIPS requis ne sont pas clairs, veuillez interrompre la procédure et consulter le support technique et les instructions de certification correspondant à votre Service Pack. N'utilisez pas une ancienne commande de blog ni n'ajoutez manuellement un paramètre de noyau copié d'une autre version de SLES. Les instructions actuelles de SUSE pour le Service Pack 7 utilisent l'utilitaire de configuration pour appliquer la stratégie et configurer le processus de démarrage.

3. Activez le mode FIPS et redémarrez.

Une fois l'hôte sauvegardé conformément à la politique locale, les dépendances vérifiées et la fenêtre de maintenance active, activez le mode :

sudo fips-mode-setup --enable

Examinez la sortie de l'utilitaire. SUSE indique qu'il configure la politique de chiffrement FIPS et signale qu'un redémarrage est nécessaire. Ce redémarrage fait partie de la procédure car l'initramfs et la configuration de démarrage doivent refléter le nouveau mode. Le fait que la commande se termine avec succès avant le redémarrage ne prouve pas que le noyau en cours d'exécution fonctionne déjà en mode FIPS.

Redémarrez uniquement lorsque vous avez confirmé l'impact sur le service et l'accès à la récupération :

sudo systemctl reboot

Pour l'équipe d'exploitation fictive, le responsable de l'application est présent pendant la période de modification et peut exécuter les tests de non-récupération convenus une fois le serveur rétabli. Si le serveur est distant et qu'aucune procédure de récupération n'est prévue, il convient d'en établir une au préalable ou de reporter la modification. Les restrictions FIPS peuvent exposer des techniques de chiffrement non prises en charge au démarrage ou au lancement des services.

4. Vérifiez le mode, puis vérifiez la charge de travail.

Une fois le système complètement redémarré, exécutez la vérification d'état de SUSE :

sudo fips-mode-setup --check

Pour une configuration réussie du SP7, la documentation SUSE indique que le mode FIPS est activé, que le module FIPS de l'initramfs est activé et que la politique de chiffrement actuelle est basée sur la politique FIPS. Comparez ce résultat avec la documentation de votre Service Pack installé ; ne vous fiez pas uniquement à un fichier de configuration ou au fait que le redémarrage a réussi.

Vous pouvez également consulter l'état d'activation du service :

sudo fips-mode-setup --is-enabled

SUSE indique qu'il s'agit d'un contrôle d'état renvoyant un résultat différent de zéro lorsque FIPS est désactivé ou en cas d'incohérence du mode. Dans l'automatisation, il est recommandé d'utiliser le code de sortie plutôt que d'effectuer une recherche dans une sortie formatée de manière imprécise. Ensuite, testez les services concernés par l'exigence : authentifiez-vous avec la méthode SSH approuvée, établissez une connexion TLS avec un point de terminaison représentatif et exécutez des contrôles d'intégrité spécifiques à l'application. Le fait qu'un service soit actif ne garantit pas l'utilisation d'un module ou d'une configuration cryptographique approuvée.

Un exemple de compatibilité dans le guide SUSE concerne Samba/CIFS : dans un environnement FIPS, utilisez l’authentification Kerberos car les autres modes d’authentification Samba incluent MD5. Appliquez cette recommandation uniquement si l’hôte fournit ou utilise des services Samba ; sinon, concentrez-vous sur les protocoles et les bibliothèques réellement concernés.

5. Résoudre les problèmes sans affaiblir les exigences

Si --checkle système signale que le mode FIPS n'est pas activé, examinez la sortie complète de la commande et vérifiez que le redémarrage requis a bien eu lieu. Vérifiez la version et les paquets installés, puis consultez le guide SUSE correspondant. Si le mode est signalé comme activé mais qu'une application échoue, examinez les journaux de cette application et identifiez l'algorithme ou le module qu'elle tente d'utiliser. Remplacez ou reconfigurez la dépendance avec une option approuvée, ou obtenez une exception documentée auprès du responsable de la conformité.

Ne rétablissez pas une politique de chiffrement permissive uniquement pour faire fonctionner un client ancien tout en prétendant être conforme aux normes FIPS. Si une restauration est nécessaire, suivez la procédure d'incident et d'approbation de votre organisation, ainsi sudo fips-mode-setup --disableque la documentation SUSE, puis redémarrez le système pour désactiver le mode. Réévaluez la conformité après toute restauration.

Avant de valider la modification, enregistrez l'identifiant du Service Pack, les informations du package, la sortie de la commande, l'historique de redémarrage et les résultats des tests d'application dans l'historique des modifications du système. Dans l'exemple présenté, ces éléments permettent à l'équipe de distinguer trois faits : le mode FIPS est activé sur l'hôte, les services attendus fonctionnent et les modules cryptographiques sélectionnés sont conformes aux exigences. Seul l'évaluateur responsable peut déterminer si ces faits satisfont au contrôle applicable.

Pour connaître la procédure officielle et les mises en garde spécifiques à cette version, consultez le guide de sécurité et de renforcement de SUSE Linux Enterprise Server 15 SP7 , les informations de certification SUSE FIPS et l'enregistrement applicable du programme de validation des modules cryptographiques du NIST .