SLES 15でFIPSモードを有効にし、ブート状態を確認する

FIPSステータスが欠落している場合は、ブート設定をコンプライアンスから分離する

サーバーは、所有者がセキュリティ更新プログラムをインストールしたり、強化されたプロファイルを選択したりした場合でも、FIPS モードが無効になっていると報告することがあります。SUSE Linux Enterprise Server 15 SP7 では、SUSE のドキュメントに記載されている手順は、システムに必要な FIPS サポートをインストールし、を実行してfips-mode-setup --enable再起動し、で状態を確認することですfips-mode-setup --check。この設定はシステムの暗号化ポリシーとブート構成を変更しますが、それ自体ではワークロードまたはオペレーティングシステム全体がコンプライアンス要件を満たしていることを証明するものではありません。

具体例を挙げると、 FIPS準拠の暗号化を必要とする社内サービス向けに、SLES 15 SP7サーバーを準備している架空の運用チームを想像してみてください。チームにはメンテナンス期間とコンソールアクセス権限がありますが、既存のクライアントが互換性のないアルゴリズムを使用しているかどうかはまだわかりません。これは、本番ホストを変更する前に、正確な要件を確認し、依存関係をテストする必要がある理由であり、実際の展開やテストの証拠ではありません。

1. リリースと要件を確認する

まず、サービスパックとアーキテクチャを特定してください。SLES 15のサービスパックによって、正確なコマンドやパッケージが異なる場合があるため、SP7の手順をSP4、SP5、またはSP6にコピーする前に、該当するリリースのSUSEドキュメントを確認してください。

cat /etc/os-release
uname -m

例のサーバーの場合、チームはインストールされているSLESリリースを記録し、変更ウィンドウを確認し、再起動が失敗した場合にコンソールまたは承認されたリモート管理パスを介して復旧できることを確認します。FIPSは、アプリケーションがまだ必要としている暗号化アルゴリズムまたはプロトコルを拒否することができます。TLS、SSH、ファイル共有、Java、データベース、またはその他の暗号化ライブラリを使用するアプリケーションをチェックする時間をスケジュールしてください。

また、評価者が実際に何を要求しているのかを明確にしてください。FIPS 140-3 検証は、定義された構成の暗号化モジュールに適用されます。オペレーティングシステムモードを有効にすることは、すべてのモジュール、アプリケーション、またはデプロイメントを検証することとは異なります。SUSE の SLES 15 SP7 ガイドには、SP7 は NIST FIPS 140-3 認証に提出されないと記載されています。SUSE は、検証済みのモジュールと構成に関する情報を別途公開しています。契約で特定の検証済みモジュールが要求されている場合は、作業を進める前に、SUSE の認証資料とNIST CMVP 認証記録に基づいて、正確なモジュール、バージョン、動作環境、および認証を確認してください。

2. サポートされているFIPSコンポーネントを準備する

SUSEは、patterns-base-fips新規インストールの場合にパターンを選択することを推奨します。稼働中のシステムを変更する場合は、キーの再生成やセットアップの監査など、追加の調整が必要になる場合があることをSUSEは警告しています。既存のホストは、単一のコマンドで認証できるものではなく、管理された変更として扱ってください。

セットアップユーティリティが存在するかどうかを確認してください。

command -v fips-mode-setup
rpm -q crypto-policies-scripts

このcrypto-policies-scriptsパッケージは、必要な機能を提供するためfips-mode-setup、インストールされていない可能性があります。インストールされていない場合は、システムの承認済みSLESリポジトリからインストールしてください。

sudo zypper install crypto-policies-scripts

リポジトリへのアクセス、パッケージの入手可能性、または必要な FIPS パッケージが不明な場合は、作業を中止し、サポートチャネルおよびご使用のサービスパックに対応した認証ガイダンスを参照してください。古いブログコマンドを代用したり、別の SLES リリースからコピーしたカーネルパラメータを手動で追加したりしないでください。SUSE の最新の SP7 手順では、セットアップユーティリティを使用してポリシーを適用し、ブートプロセスを設定します。

3. FIPSモードを有効にして再起動します。

ローカルポリシーに従ってホストのバックアップが完了し、依存関係が確認され、メンテナンス期間がアクティブになったら、次のモードを有効にします。

sudo fips-mode-setup --enable

ユーティリティの出力結果を確認してください。SUSEのドキュメントには、FIPS暗号化ポリシーが設定され、再起動が必要であると記載されています。再起動は手順の一部であり、initramfsとブート構成が新しいモードを反映する必要があるためです。再起動前にコマンドが正常に終了したからといって、実行中のカーネルが既にFIPSモードで動作しているとは限りません。

サービスへの影響と復旧アクセスを確認した後でのみ再起動してください。

sudo systemctl reboot

架空の運用チームの場合、アプリケーション所有者は変更期間中に現場に立ち会い、サーバー復旧後に合意済みの動作確認テストを実行できます。サーバーがリモートにあり、復旧パスが存在しない場合は、まず復旧パスを確立するか、変更を延期してください。FIPSの制限により、起動時またはサービス開始時にサポートされていない暗号化が露呈する可能性があります。

4. モードを確認し、次にワークロードを確認します。

システムが完全に再起動したら、SUSEのステータスチェックを実行してください。

sudo fips-mode-setup --check

SP7の設定が成功した場合、SUSEのドキュメントには、FIPSモードが有効になっていること、initramfs FIPSモジュールが有効になっていること、および現在の暗号化ポリシーがFIPSポリシーに基づいていることが出力されます。実際の出力を、インストールされているサービスパックのドキュメントと比較してください。設定ファイルや再起動が完了したという事実だけに頼らないでください。

ユーティリティの有効化状況を照会することもできます。

sudo fips-mode-setup --is-enabled

SUSE では、FIPS が無効になっている場合、またはモードが不整合な場合に、ゼロ以外の結果を返すステータスチェックとしてこれを文書化しています。自動化では、形式が緩い出力を検索するのではなく、終了ステータスを使用してください。次に、要件に関係するサービスをテストします。承認済みの SSH 方式で認証を行い、代表的なエンドポイントに TLS 接続を確立し、アプリケーション固有のヘルスチェックを実行します。サービスがアクティブであるからといって、承認済みの暗号化モジュールまたは構成を使用しているとは限りません。

SUSEのガイドにある互換性の例として、Samba/CIFSに関するものがあります。FIPS環境では、他のSamba認証モードにはMD5が含まれているため、Kerberos認証を使用してください。このガイダンスは、ホストがSambaサービスを提供または利用する場合にのみ適用してください。それ以外の場合は、実際に適用範囲に含まれるプロトコルとライブラリに焦点を当ててください。

5. 要件を弱めることなく不具合を解決する

FIPSが有効になっていないという報告があった場合は--check、コマンドの出力全体を確認し、必要な再起動が実行されたことを確認してください。インストールされているリリースとパッケージセットを確認し、該当するSUSEガイドを参照してください。モードが有効になっていると報告されているにもかかわらずアプリケーションが失敗した場合は、そのアプリケーションのログを調べて、使用しようとしているアルゴリズムまたはモジュールを特定してください。依存関係を承認済みのオプションに置き換えるか再構成するか、コンプライアンス担当者から文書化された例外を取得してください。

FIPS準拠を主張しながらレガシークライアントを動作させるためだけに、暗号化ポリシーを緩和する設定に戻さないでください。ロールバックが必要な場合は、組織のインシデントおよび承認プロセスに従い、SUSEのドキュメントをsudo fips-mode-setup --disable参照の上、再起動してモードを無効にしてください。ロールバック後は、コンプライアンス状況を再評価してください。

変更を完了する前に、サービスパックの識別情報、パッケージ情報、コマンド出力、再起動記録、およびアプリケーションテスト結果をシステムの変更記録に保存してください。例示シナリオでは、これらの証拠によって、ホストがFIPSモードを有効にしていること、意図したサービスが機能していること、および選択された暗号化モジュールがコンプライアンス要件に一致していることという3つの事実を区別できます。これらの事実が該当する制御要件を満たしているかどうかを判断できるのは、責任のある評価者のみです。

正式な手順およびリリース固有の注意事項については、SUSE Linux Enterprise Server 15 SP7 セキュリティおよび強化ガイド、SUSE FIPS 認証情報、および該当するNIST 暗号モジュール検証プログラムの記録を参照してください。