Cara membuat CentOS/RHEL 7 FIPS 140-2 sesuai

Untuk membuat CentOS/RHEL 7 sesuai dengan Publikasi Standar Pemrosesan Informasi Federal (FIPS) 140-2, beberapa perubahan diperlukan untuk memastikan bahwa modul kriptografi bersertifikat digunakan dan sistem Anda (kernel dan ruang pengguna) dalam mode FIPS.

Prasyarat

1. Konfirmasikan bahwa versi openssl saat ini mendukung fips:

# openssl version
OpenSSL 1.0.1e-fips 11 Feb 2013

2. Periksa output dari perintah berikut. Ini menunjukkan jika kernel sudah dikonfigurasi untuk FIP. Ini akan menampilkan 0 jika TIDAK diaktifkan.

# cat /proc/sys/crypto/fips_enabled
0

3. Ambil cadangan output 'blkid' dan 'df -h' untuk berjaga-jaga jika diperlukan untuk masalah di masa mendatang.

# blkid > /var/tmp/blkid_bkp_`date`
# df -h > /var/tmp/df_bkp_`date`

4. Di /etc/sysconfig/prelink periksa apakah prelink dinonaktifkan. Ini dapat dilakukan dengan mengonfigurasi “PRELINKING=no ” dalam file konfigurasi.

CATATAN :Jika tidak ada prelink di server, langkah ini bisa dilewati.

5. Periksa apakah server menggunakan AESNI (Set Instruksi Standar Enkripsi Lanjutan):

# cat /proc/cpuinfo | grep aes
# lsmod | grep aes

CATATAN :Jika di server aes berfungsi, instal ketergantungan perpustakaan sebelum melanjutkan:dracut-fips-aesni.

Langkah

Jadikan FIP aktif di kernel:

1. Instal dracut-fips.

# yum install dracut-fips

2. Ambil cadangan dari initramf saat ini.

# cp -p /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).backup

Pastikan cadangan initramfs telah dibuat.

3. Buat ulang file initramfs:

# dracut -f

4. Ubah baris perintah kernel dari kernel saat ini di file grub.cfg. Di /etc/default/grub.cfg , di GRUB_CMDLINE_LINUX baris tambahkan opsi berikut di akhir baris:“fips=1 ”

# cat /etc/default/grub | grep GRUB_CMDLINE_LINUX=
GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=vg_os/root rd.lvm.lv=vg_os/swap rhgb quiet fips=1"

5. Membangun kembali file grub.cfg sebagai berikut:

# grub2-mkconfig -o /boot/grub2/grub.cfg

Jika server dikonfigurasi untuk menggunakan berbasis UEFI, jalankan perintah berikut untuk membangun kembali grub.cfg :

# grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg

6. Nyalakan ulang sistem Anda.

# shutdown -r now

7. Terakhir periksa lagi apakah FIP sekarang diaktifkan. Ini akan menampilkan 1 jika diaktifkan.

# cat /proc/sys/crypto/fips_enabled
1