SLES 15에서 FIPS 모드를 활성화하고 부팅 상태를 확인하십시오.

FIPS 상태 정보가 없는 경우, 부팅 설정과 규정 준수 설정을 분리하십시오.

서버 소유자가 보안 업데이트를 설치했거나 강화된 프로필을 선택했더라도 서버는 FIPS 모드가 꺼져 있다고 보고할 수 있습니다. SUSE Linux Enterprise Server 15 SP7에서 SUSE가 문서화한 방법은 시스템에 필요한 FIPS 지원을 설치하고, 명령어를 실행한 다음 fips-mode-setup --enable, 서버를 재부팅하고 명령어로 상태를 확인하는 것 fips-mode-setup --check입니다. 이 설정은 시스템 암호화 정책 및 부팅 구성을 변경하는 것이며, 그 자체로 워크로드 또는 전체 운영 체제가 규정 준수 요구 사항을 충족한다는 것을 입증하는 것은 아닙니다.

예시: 가상의 운영팀이 FIPS 승인 암호화가 필요한 내부 서비스를 위해 SLES 15 SP7 서버 하나를 준비한다고 가정해 보겠습니다. 팀은 유지 관리 시간과 콘솔 액세스 권한을 가지고 있지만, 기존 클라이언트가 호환되지 않는 알고리즘을 사용하는지 여부는 아직 알지 못합니다. 이는 프로덕션 호스트를 변경하기 전에 정확한 요구 사항을 확인하고 종속성을 테스트해야 하는 이유일 뿐, 실제 배포 또는 테스트를 의미하는 것은 아닙니다.

1. 릴리스 및 요구 사항을 확인하십시오.

먼저 서비스 팩과 아키텍처를 확인하십시오. SLES 15 서비스 팩마다 정확한 명령과 패키지가 다를 수 있으므로, 해당 릴리스의 SUSE 설명서를 확인하지 않고 SP7 프로시저를 SP4, SP5 또는 SP6에 복사하지 마십시오.

cat /etc/os-release
uname -m

예시 서버의 경우, 팀은 설치된 SLES 릴리스를 기록하고, 변경 기간을 확인하며, 재부팅이 실패할 경우 콘솔이나 승인된 원격 관리 경로를 통해 복구할 수 있는지 확인합니다. FIPS는 애플리케이션이 여전히 요구하는 암호화 알고리즘이나 프로토콜을 거부할 수 있습니다. TLS, SSH, 파일 공유, Java, 데이터베이스 또는 기타 암호화 라이브러리를 사용하는 애플리케이션을 점검할 시간을 확보하십시오.

또한 평가자가 실제로 요구하는 사항이 무엇인지 명확히 하십시오. FIPS 140-3 인증은 정의된 구성의 암호화 모듈에 적용됩니다. 운영 체제 모드를 활성화하는 것은 모든 모듈, 애플리케이션 또는 배포를 검증하는 것과는 다릅니다. SUSE의 SLES 15 SP7 가이드에 따르면 SP7은 NIST FIPS 140-3 인증을 위해 제출되지 않습니다. SUSE는 인증된 모듈 및 구성에 대한 정보를 별도로 게시합니다. 계약에서 특정 인증된 모듈을 요구하는 경우, 진행하기 전에 SUSE의 인증 자료 및 NIST CMVP 인증 기록 과 대조하여 정확한 모듈, 버전, 운영 환경 및 인증서를 확인하십시오 .

2. 지원되는 FIPS 구성 요소를 준비합니다.

SUSE는 새 설치 시 패턴을 선택할 것을 권장합니다 patterns-base-fips. 실행 중인 시스템을 변경하는 경우, 키 재생성 및 설정 감사 등 추가적인 조정이 필요할 수 있습니다. 기존 호스트는 단일 명령으로 인증하는 것이 아니라, 관리된 변경 작업으로 처리해야 합니다.

설치 유틸리티가 있는지 확인하십시오.

command -v fips-mode-setup
rpm -q crypto-policies-scripts

해당 crypto-policies-scripts패키지는 제공되지만 fips-mode-setup설치되지 않을 수 있습니다. 패키지가 없는 경우 시스템의 공인 SLES 저장소에서 설치하십시오.

sudo zypper install crypto-policies-scripts

저장소 접근, 패키지 가용성 또는 필요한 FIPS 패키지가 불분명한 경우, 작업을 중단하고 해당 서비스 팩에 맞는 지원 채널 및 인증 지침을 따르십시오. 이전 블로그의 명령어를 사용하거나 다른 SLES 릴리스에서 복사한 커널 매개변수를 수동으로 추가하지 마십시오. SUSE의 최신 SP7 지침에서는 설정 유틸리티를 사용하여 정책을 적용하고 부팅 프로세스를 구성합니다.

3. FIPS 모드를 활성화하고 재부팅합니다.

호스트가 로컬 정책에 따라 백업되고, 종속성 검토가 완료되고, 유지 관리 기간이 활성화되면 모드를 활성화하십시오.

sudo fips-mode-setup --enable

유틸리티의 출력 결과를 검토하십시오. SUSE 문서에 따르면 이 유틸리티는 FIPS 암호화 정책을 설정하고 재부팅이 필요하다고 보고합니다. 재부팅은 initramfs 및 부팅 구성이 새 모드를 반영해야 하므로 절차의 일부입니다. 재부팅 전에 명령이 성공적으로 반환되었다고 해서 실행 중인 커널이 이미 FIPS 모드로 작동 중이라고 단정해서는 안 됩니다.

서비스에 미치는 영향과 복구 접근 권한이 확인된 경우에만 재부팅하십시오.

sudo systemctl reboot

가상의 운영팀에서 애플리케이션 소유자는 변경 기간 동안 현장에 있으며 서버가 복구된 후 합의된 스모크 테스트를 실행할 수 있습니다. 서버가 원격이고 복구 경로가 없는 경우, 먼저 복구 경로를 설정하거나 변경을 연기해야 ​​합니다. FIPS 규정으로 인해 부팅 시 또는 서비스 시작 시 지원되지 않는 암호화가 노출될 수 있습니다.

4. 모드를 확인한 후 워크로드를 확인합니다.

시스템이 완전히 재시작되면 SUSE의 상태 확인 도구를 실행하십시오.

sudo fips-mode-setup --check

SP7 구성이 성공적으로 완료되면 SUSE 문서에는 FIPS 모드가 활성화되었고, initramfs FIPS 모듈이 활성화되었으며, 현재 암호화 정책이 FIPS 정책을 기반으로 한다는 내용이 출력됩니다. 실제 출력 내용을 설치된 서비스 팩의 문서와 비교하십시오. 구성 파일이나 재부팅 완료 여부에만 의존하지 마십시오.

유틸리티의 활성화 상태를 조회할 수도 있습니다.

sudo fips-mode-setup --is-enabled

SUSE는 FIPS가 비활성화되었거나 모드가 일관되지 않은 경우 0이 아닌 결과를 반환하는 상태 확인으로 이를 문서화합니다. 형식이 명확하지 않은 출력을 검색하는 대신 자동화에서 종료 상태를 사용하십시오. 그런 다음 요구 사항에 중요한 서비스를 테스트하십시오. 승인된 SSH 방식으로 인증하고, 대표 엔드포인트에 TLS 연결을 설정하고, 애플리케이션별 상태 확인을 실행하십시오. 서비스가 활성화되어 있다고 해서 승인된 암호화 모듈이나 구성을 사용한다는 것을 의미하지는 않습니다.

SUSE 가이드의 호환성 예시 중 하나는 Samba/CIFS에 관한 것입니다. FIPS 환경에서는 다른 Samba 인증 모드에 MD5가 포함되어 있으므로 Kerberos 인증을 사용해야 합니다. 하지만 호스트가 Samba 서비스를 제공하거나 사용하는 경우에만 해당 지침을 적용하고, 그렇지 않은 경우에는 실제로 적용 범위에 있는 프로토콜과 라이브러리에 집중하십시오.

5. 요구사항을 약화시키지 않고 실패를 해결하십시오.

FIPS가 활성화되지 않았다는 보고가 있는 경우 --check, 전체 명령 출력 내용을 검토하고 필요한 재부팅이 수행되었는지 확인하십시오. 설치된 릴리스 및 패키지 세트를 확인한 후 해당 SUSE 가이드를 참조하십시오. 모드가 활성화되었다고 보고되었지만 애플리케이션이 실패하는 경우, 해당 애플리케이션의 로그를 검사하여 사용하려는 알고리즘 또는 모듈을 식별하십시오. 승인된 옵션으로 종속성을 교체하거나 재구성하거나, 규정 준수 담당자로부터 문서화된 예외 승인을 받으십시오.

FIPS 규정을 준수한다고 주장하면서 기존 클라이언트를 작동시키기 위해 허용적인 암호화 정책으로 되돌리지 마십시오. 롤백이 필요한 경우 조직의 사고 보고 및 승인 절차를 따르고, SUSE 문서를 sudo fips-mode-setup --disable참조하여 재부팅 후 해당 모드를 비활성화하십시오. 롤백 후에는 규정 준수 상태를 재평가하십시오.

변경 사항을 닫기 전에 서비스 팩 식별 정보, 패키지 정보, 명령 출력, 재부팅 기록 및 애플리케이션 테스트 결과를 시스템 변경 기록에 저장하십시오. 예시 시나리오에서 이러한 증거를 통해 팀은 세 가지 사실을 구분할 수 있습니다. 호스트에서 FIPS 모드가 활성화되었다고 보고하는 점, 의도한 서비스가 정상적으로 작동하는 점, 그리고 선택한 암호화 모듈이 규정 준수 요구 사항을 충족하는 점입니다. 담당 평가자만이 이러한 사실이 해당 통제를 충족하는지 여부를 결정할 수 있습니다.

공식적인 절차 및 릴리스별 주의 사항은 SUSE Linux Enterprise Server 15 SP7 보안 및 강화 가이드 , SUSE FIPS 인증 정보 및 해당 NIST 암호화 모듈 검증 프로그램 기록을 참조하십시오.