3.4. 将系统切换到 FIPS 模式

系统范围的加密策略包含一个策略级别，它根据联邦信息处理标准(FIPS)出版物 140 的要求启用加密算法。在内部启用或禁用 FIPS 模式的 fips-mode-setup 工具使用 FIPS 系统范围的加密策略。

使用 FIPS 系统范围的加密策略将系统切换到 FIPS 模式不能保证符合 FIPS 140 标准。将系统设置为 FIPS 模式后，可能无法重新生成所有加密密钥。例如，在具有用户加密密钥的现有 IdM 域中，您无法重新生成所有密钥。

fips-mode-setup 工具在内部使用 FIPS 策略。但是，在使用 --set FIPS 选项的 update-crypto-policies 命令之上，fips-mode-setup 使用 fips-finish-install 工具确保 FIPS dracut 模块的安装，它还在内核命令行中添加 fips=1 引导选项，并重新生成初始 RAM 磁盘。

重要

仅 在 RHEL 安装过程中启用 FIPS 模式 可确保系统使用 FIPS 批准的算法生成所有密钥，并持续监控测试。

注意

RHEL 9 的加密模块尚未获得 FIPS 140-3 要求的认证。

步骤

  1. 将系统切换到 FIPS 模式： 

    # fips-mode-setup --enable
Kernel initramdisks are being regenerated. This might take some time.
Setting system policy to FIPS
Note: System-wide crypto policies are applied on application start-up.
It is recommended to restart the system for the change of policies
to fully take place.
FIPS mode will be enabled.
Please reboot the system for the setting to take effect.

  2. 重启您的系统以允许内核切换到 FIPS 模式： 

    # reboot

验证

  • 重启后，您可以检查 FIPS 模式的当前状态： 

    # fips-mode-setup --check
FIPS mode is enabled.

其他资源