Ative o modo FIPS no SLES 15 e verifique o estado de inicialização.

Quando o status FIPS estiver ausente, separe a configuração de inicialização da conformidade.

Um servidor pode reportar que o modo FIPS está desativado mesmo quando seu proprietário instalou atualizações de segurança ou selecionou um perfil reforçado. No SUSE Linux Enterprise Server 15 SP7, o método documentado pela SUSE é instalar o suporte FIPS necessário para o sistema, executar `sudo apt-get install fIPS` fips-mode-setup --enable, reiniciar e confirmar o estado com `sudo apt -get confirm` fips-mode-setup --check. Essa configuração altera a política criptográfica do sistema e a configuração de inicialização; por si só, ela não comprova que uma carga de trabalho ou todo o sistema operacional atende a um requisito de conformidade.

Exemplo ilustrativo: Imagine uma equipe de operações fictícia preparando um servidor SLES 15 SP7 para um serviço interno que requer criptografia aprovada pelo FIPS. A equipe tem uma janela de manutenção e acesso ao console, mas ainda não sabe se um cliente legado usa um algoritmo incompatível. Isso é motivo para verificar o requisito exato e testar as dependências antes de alterar o host de produção — não é evidência de uma implantação ou teste real.

1. Confirme a versão e o requisito.

Primeiro, identifique o pacote de serviços e a arquitetura. Os comandos e pacotes exatos podem variar entre os pacotes de serviços do SLES 15, portanto, não copie um procedimento do SP7 para o SP4, SP5 ou SP6 sem consultar a documentação da SUSE correspondente à versão.

cat /etc/os-release
uname -m

Para o servidor de exemplo, a equipe registra a versão do SLES instalada, verifica sua janela de alterações e confirma se é possível recuperá-la por meio de um console ou caminho de gerenciamento remoto aprovado caso uma reinicialização falhe. O FIPS pode rejeitar algoritmos ou protocolos criptográficos que um aplicativo ainda espera. Reserve um tempo para verificar os aplicativos que usam TLS, SSH, compartilhamento de arquivos, Java, bancos de dados ou outras bibliotecas criptográficas.

Esclareça também o que o avaliador realmente exige. A validação FIPS 140-3 aplica-se a um módulo criptográfico em uma configuração definida; habilitar um modo do sistema operacional não é o mesmo que validar todos os módulos, aplicativos ou implantações. O guia do SLES 15 SP7 da SUSE afirma que o SP7 não será submetido à certificação NIST FIPS 140-3. A SUSE publica separadamente informações sobre módulos e configurações validados. Se um contrato exigir um módulo validado específico, confirme o módulo exato, a versão, o ambiente operacional e o certificado em relação ao material de certificação da SUSE e ao registro de certificado CMVP do NIST antes de prosseguir.

2. Prepare os componentes FIPS suportados.

A SUSE recomenda selecionar o patterns-base-fipspadrão para uma nova instalação. Se você estiver alterando um sistema em execução, a SUSE alerta que ajustes adicionais podem ser necessários, incluindo a regeneração de chaves e a auditoria da configuração. Trate um host existente como uma alteração controlada, não como uma certificação de um único comando.

Verifique se o utilitário de instalação está presente:

command -v fips-mode-setup
rpm -q crypto-policies-scripts

O crypto-policies-scriptspacote é fornecido fips-mode-setupe pode não estar instalado. Caso esteja ausente, instale-o a partir dos repositórios SLES autorizados do sistema:

sudo zypper install crypto-policies-scripts

Se o acesso ao repositório, a disponibilidade de pacotes ou os pacotes FIPS necessários não estiverem claros, interrompa o processo e utilize o canal de suporte e as orientações de certificação específicas para o seu pacote de serviços. Não substitua um comando antigo de blog nem adicione manualmente um parâmetro de kernel copiado de uma versão diferente do SLES. As instruções atuais do SUSE SP7 utilizam o utilitário de configuração para aplicar a política e configurar o processo de inicialização.

3. Ative o modo FIPS e reinicie.

Após o host ser copiado de acordo com a política local, as dependências serem revisadas e a janela de manutenção estar ativa, habilite o modo:

sudo fips-mode-setup --enable

Analise a saída do utilitário. A documentação da SUSE informa que ele define a política criptográfica FIPS e relata que uma reinicialização é necessária. A reinicialização faz parte do procedimento porque o initramfs e a configuração de inicialização devem refletir o novo modo. Não considere o retorno bem-sucedido do comando antes da reinicialização como prova de que o kernel em execução já está operando no modo FIPS.

Reinicie somente após confirmar o impacto no serviço e o acesso de recuperação:

sudo systemctl reboot

Para a equipe de operações fictícia, o proprietário do aplicativo está presente durante a janela de alterações e pode executar os testes de fumaça acordados após o retorno do servidor. Se o servidor for remoto e não houver um caminho de recuperação disponível, estabeleça um primeiro ou adie a alteração. Restrições FIPS podem expor criptografia não suportada na inicialização ou quando os serviços são iniciados.

4. Verifique o modo e, em seguida, verifique a carga de trabalho.

Após o sistema reiniciar completamente, execute a verificação de status do SUSE:

sudo fips-mode-setup --check

Para uma configuração SP7 bem-sucedida, a SUSE documenta a saída indicando que o modo FIPS está habilitado, o módulo FIPS do initramfs está habilitado e a política criptográfica atual é baseada na política FIPS. Compare a saída real com a documentação do seu pacote de serviços instalado; não confie apenas em um arquivo de configuração ou no fato de a reinicialização ter sido concluída.

Você também pode consultar o status de ativação do utilitário:

sudo fips-mode-setup --is-enabled

A SUSE documenta isso como uma verificação de status com um resultado diferente de zero quando o FIPS está desativado ou quando o modo é inconsistente. Use o código de saída na automação em vez de pesquisar saídas formatadas de maneira imprecisa. Em seguida, teste os serviços relevantes para o requisito: autentique-se com o método SSH aprovado, estabeleça uma conexão TLS com um endpoint representativo e execute verificações de integridade específicas do aplicativo. O fato de um serviço estar ativo não garante que ele utilize um módulo ou configuração criptográfica aprovada.

Um exemplo de compatibilidade no guia da SUSE diz respeito ao Samba/CIFS: em um ambiente FIPS, utilize a autenticação Kerberos, pois os outros modos de autenticação do Samba incluem MD5. Aplique essa orientação somente se o host fornecer ou consumir serviços Samba; caso contrário, concentre-se nos protocolos e bibliotecas que realmente se aplicam.

5. Resolver falhas sem enfraquecer o requisito

Se --checko sistema reportar que o FIPS não está habilitado, revise a saída completa do comando e confirme se a reinicialização necessária ocorreu. Verifique a versão e o conjunto de pacotes instalados e consulte o guia SUSE correspondente. Se o modo for reportado como habilitado, mas um aplicativo falhar, inspecione os logs desse aplicativo e identifique o algoritmo ou módulo que ele está tentando usar. Substitua ou reconfigure a dependência com uma opção aprovada ou obtenha uma exceção documentada do responsável pela conformidade.

Não retorne a uma política criptográfica permissiva apenas para fazer um cliente legado funcionar enquanto alega conformidade com o FIPS. Se for necessário reverter a política, utilize o processo de incidentes e aprovação da organização; sudo fips-mode-setup --disableconsulte a documentação da SUSE e reinicie o sistema para desativar o modo. Reavalie o status de conformidade após qualquer reversão.

Antes de finalizar a alteração, salve a identificação do pacote de serviços, as informações do pacote, a saída do comando, o registro de reinicialização e os resultados dos testes do aplicativo no registro de alterações do sistema. No cenário ilustrativo, essas evidências permitem que a equipe distinga três fatos distintos: o host reporta o modo FIPS ativado, os serviços pretendidos funcionam e os módulos criptográficos selecionados atendem aos requisitos de conformidade. Somente o avaliador responsável pode decidir se esses fatos satisfazem o controle aplicável.

Para obter o procedimento oficial e as ressalvas específicas da versão, consulte o Guia de Segurança e Reforço do SUSE Linux Enterprise Server 15 SP7 , as informações de certificação FIPS da SUSE e o registro aplicável do Programa de Validação de Módulos Criptográficos do NIST .