Cara menonaktifkan mode FIPS di CentOS/RHEL 7

Apa itu Kepatuhan FIPS?

Standar Pemrosesan Informasi Federal (FIPS) adalah standar yang ditentukan oleh Pemerintah Amerika Serikat untuk menyetujui perangkat lunak kriptografi. Institut Standar dan Teknologi Nasional (NIST) sejauh ini telah mengeluarkan standar FIPS 140-1 dan FIPS 140-2, dan FIPS PUB 140-2 adalah standar untuk “Persyaratan Keamanan untuk Modul Kriptografi”.

Langkah-langkah untuk mengaktifkan FIPS di CentOS/RHEL 7 termasuk menginstal paket dracut-fips. Paket ini menyediakan file, /etc/system-fips, yang digunakan oleh perangkat lunak berkemampuan FIPS, seperti klien openssh, untuk mengetahui apakah mode FIPS diaktifkan atau tidak di kernel. Menggunakan fips=1 selama instalasi memberitahu installer untuk juga menginstal paket dracut-fips secara otomatis.

Menonaktifkan mode FIPS

1. Hapus paket dracut-fips.

# yum remove dracut-fips*

2. Ambil cadangan dari initramfs FIPS.

# cp -p /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).backup

Catatan :Periksa apakah file initramfs sudah dibuat atau belum. Selain itu, Anda dapat menggunakan lokasi lain alih-alih /boot/ untuk menghindari masalah ruang.

3. Buat ulang file initramfs:

# dracut -f

ATAU

# dracut -f -v /boot/initramfs-$(uname -r).img $(uname -r)

4. Nonaktifkan fips=1 nilai dari baris perintah kernel. Ubah baris perintah kernel dari kernel saat ini di grub.cfg dengan menambahkan opsi berikut “fips=0 ” ke GRUB_CMDLINE_LINUX masukkan /etc/default/grub file dan kemudian membangun kembali file grub.cfg:

Contoh tampilan garis GRUB_CMDLINE_LINUX:

# cat /etc/default/grub | grep GRUB_CMDLINE_LINUX=
GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=vg_os/root rd.lvm.lv=vg_os/swap rhgb quiet fips=0"

5. Perubahan pada /etc/default/grub memerlukan pembuatan ulang file grub.cfg sebagai berikut:

# grub2-mkconfig -o /boot/grub2/grub.cfg

Atau Jika Anda menjalankan berbasis UEFI:

# grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg

6. Reboot server agar perubahan diterapkan:

# shutdown -r now

7. Periksa apakah FIPS tidak dalam mode penegakan setelah boot ulang /proc/sys/crypto/fips_enabled harus 0.

Contoh:

# cat /proc/sys/crypto/fips_enabled
0