AlmaLinux OS имеет валидацию FIPS 140-3
AlmaLinux OS 9.2 содержит валидированные по FIPS 140-3 криптографические модули в списке NIST CMVP Active, включая первый сертификат ядра FIPS 140-3 для дистрибутива EL9. Вы можете включить режим FIPS и соответствовать признанному криптографическому стандарту бесплатно для некоммерческого использования.
Обзор
FIPS 140-3 широко считается золотым стандартом криптографической безопасности: его признают и требуют далеко за пределами США. AlmaLinux OS 9.2 ему соответствует: ядро и криптографические модули OpenSSL независимо валидированы Программой валидации криптографических модулей NIST и включены в список Active.
Это делает AlmaLinux первым дистрибутивом EL9 с валидированным по FIPS 140-3 ядром, а валидированные пакеты бесплатны для некоммерческого использования. Вот что такое FIPS, почему это важно и как это включить.
Валидацию профинансировала TuxCare — подразделение корпоративной поддержки CloudLinux и платиновый спонсор-основатель AlmaLinux. TuxCare покрыла значительные расходы и инженерные усилия и сделала валидированные пакеты доступными сообществу для некоммерческого использования.
Как мы к этому пришли
| Дата | Веха |
|---|---|
| Декабрь 2022 | Модули ядра AlmaLinux OS 9 и OpenSSL включены в список Implementation Under Test (IUT) NIST. |
| Июнь 2023 | Получены сертификаты CAVP, подтверждающие, что криптографические алгоритмы реализованы корректно. |
| Сентябрь 2023 | Получены сертификаты энтропии ESV. AlmaLinux — первая программная реализация, получившая сертификат FIPS 140-3 ESV с использованием SHA3-256 в качестве кондиционера. |
| Октябрь 2024 | Ядро AlmaLinux OS 9.2 валидировано по FIPS 140-3 и включено в активный список NIST CMVP (сертификат #4750) — это первый сертификат ядра FIPS 140-3 для дистрибутива EL9. |
| Октябрь 2024 | Провайдер OpenSSL FIPS добавлен в активный список (сертификат #4823). |
Читать полную историю в оригинале Объявление о валидации FIPS и обновление валидации 9.2.
Что такое FIPS?
FIPS (Федеральные стандарты обработки информации) — это криптографические стандарты, опубликованные правительством США. FIPS 140-3 — текущая версия, которая определяет требования безопасности, которым должен соответствовать криптографический модуль.
Модуль получает валидацию только после того, как аккредитованная лаборатория протестирует его, а Программа валидации криптографических модулей NIST сертифицирует результат. AlmaLinux OS 9.2 стала первой программной реализацией, получившей сертификат FIPS 140-3 ESV с использованием SHA3-256 в качестве кондиционера.
Валидация и соответствие требованиям — не одно и то же. Модуль получает валидацию, пройдя независимое лабораторное тестирование и попав в список Active. Система соответствует требованиям только тогда, когда она запускает валидированный модуль в режиме FIPS внутри своей сертифицированной операционной среды, а штатные изменения валидированной криптографии — например, обычный патч или обновление ядра — могут вывести её за пределы этой границы. Поэтому соответствие системы требованиям во времени зависит от обновлений, сохраняющих валидированные модули. Эти пакеты бесплатны для некоммерческого использования; регулярные обновления в соответствии с FIPS и коммерческое использование доступны через корпоративную поддержку TuxCare. Смотрите Страница FIPS от TuxCare.
Почему это важно
FIPS 140-3 признан и уважаем во всем мире. Директива Европейского Союза NIS 2, например, призывает к использованию современного шифрования, основанного на установленных стандартах.
Для правительства, финансов, здравоохранения и всех, кто работает с конфиденциальными данными, работа на валидированной криптографии часто является требованием, а не просто желательной опцией. Валидация FIPS даёт этим организациям независимую уверенность в криптографии, лежащей в основе их систем.
Валидированная криптография также является необходимым условием для Руководства по технической реализации безопасности DISA (STIG). AlmaLinux OS 9 — один из немногих дистрибутивов семейства RHEL с опубликованным DISA STIG, что даёт регулируемым средам и средам Министерства обороны США официальную базу укрепления. Смотрите AlmaLinux OS 9 STIG в Национальной программе контрольных списков NIST и TuxCare Обзор FIPS и STIG.
Включить режим FIPS бесплатно
Любой, кто использует AlmaLinux OS 9.2, может включить режим FIPS и соответствовать стандарту без затрат для некоммерческого использования. Установите пакеты сообщества из репозитория TuxCare, включите режим FIPS и перезагрузитесь:
dnf -y install https://repo.tuxcare.com/fips/tuxcare-fips-release-latest-9.noarch.rpm
dnf -y install openssl-3.0.7-20.el9_2.tuxcare.1 kernel-5.14.0-284.11.1.el9_2.tuxcare.5
fips-mode-setup --enable
rebootПосле того как система снова запустится, она будет работать на валидированной криптографии. Для полного руководства, включая проверку, смотрите Запись в блоге об обновлении валидации FIPS.
Важно: статус поддержки AlmaLinux OS 9.2
AlmaLinux OS 9.2 больше не поддерживается AlmaLinux OS Foundation — это значит, что мы не публикуем для неё обновления. Поддержка Фонда завершилась с выходом AlmaLinux OS 9.3. Подробнее о поддержке релизов смотрите Примечания к релизу AlmaLinux.
Если вам нужна постоянная поддержка, включая FIPS, посмотрите наши варианты поддержки.
Работа по валидации продолжается для новых релизов AlmaLinux. Сертификация FIPS 140-3 для AlmaLinux 9.6 сейчас в процессе: её криптографические модули включены в список Modules in Process NIST. Бесплатные модули OpenSSL и ядра для AlmaLinux 9.6 уже доступны для установки; смотрите документацию TuxCare AlmaLinux FIPS за шагами. Для дополнительной информации смотрите Страница FIPS от TuxCare и обновление валидации 9.6.
Хотите узнать больше?
Вопросы о FIPS в AlmaLinux OS? Приходите поговорить с людьми, которые делают эту работу. Мы рады помочь.
