概述
FIPS 140-3被广泛视为密码安全领域的黄金标准，其认可和要求远超美国范围。AlmaLinux OS 9.2 符合该标准：其内核和 OpenSSL 密码模块已通过美国国家标准与技术研究院（NIST）密码模块认证计划的独立认证，并被列为“有效”状态。
这使得AlmaLinux成为首个搭载经过FIPS 140-3验证内核的EL9发行版，且经验证的软件包可免费用于非商业用途。以下内容包括FIPS是什么、为何重要以及如何启用FIPS的说明。
认证由TuxCare赞助，TuxCare是CloudLinux的企业支持部门，也是AlmaLinux的创始铂金赞助商之一。TuxCare承担了高昂的成本和工程投入，并将经过认证的软件包提供给社区用于非商业用途。
我们是如何一路走来的
| 日期 | 里程碑 |
|---|---|
| 2022年12月 | AlmaLinux OS 9 的内核和 OpenSSL 模块已加入 NIST 的测试实施列表。 |
| 2023年1月 | 已收到CAVP证书，确认加密算法已正确实现。 |
| 2023年9月 | 已收到ESV熵证书。AlmaLinux是首个获得FIPS 140-3 ESV证书的使用SHA3-256的软件实现。 |
| 2024年10月 | AlmaLinux 9.2 的内核已通过 NIST CMVP 有效列表（证书编号 #4750）的 FIPS 140-3 认证，是首个获得 FIPS 140-3 认证的 EL9 发行版内核。 |
| 2024年10月 | OpenSSL FIPS 提供程序已添加到有效列表中（证书编号 #4823）。 |
什么是FIPS？
FIPS（联邦信息处理标准）是由美国政府发布的加密标准。FIPS 140-3是当前实行版本，它定义了加密模块必须满足的安全要求。
每个模块只有在经认证的实验室进行测试，并由NIST密码模块验证计划认证其结果后，才能获得认证。AlmaLinux OS 9.2是首个使用SHA3-256作为校验算法获得FIPS 140-3 ESV认证的软件实现。
认证与合规并非同一概念。一个模块通过通过独立实验室测试并加入有效列表后，即可获得认证资格。而一个系统只有在认证运行环境中以FIPS模式运行经过认证的模块时，才被认为是符合合规要求的；对于已认证加密技术的常规变更（如普通补丁或内核更新），可能会使其超出该合规边界。因此，要使系统长期保持合规，关键在于持续更新并保留已认证的模块。这些软件包可免费用于非商业用途；持续的FIPS合规补丁更新及商业使用则通过TuxCare的企业支持服务提供。参见： TuxCare的FIPS页.
为什么它很重要
FIPS 140-3在全球范围内受到认可。例如，欧盟的NIS 2指令要求采用基于成熟标准的最新加密技术。
对于政府、金融、医疗以及任何处理敏感数据的机构而言，使用经过认证的加密技术通常已是基本要求，而不只是可选项。FIPS认证为这些组织提供了对其系统底层加密技术的独立保障。
经过验证的加密技术也是DISA安全技术实施指南（STIG）的前提条件。AlmaLinux OS 9是少数几个发布DISA STIG的RHEL系列发行版之一，为受监管及美国国防部环境提供了官方的加固基准线。查看 AlmaLinux OS 9 已列入 NIST 国家检查清单计划 以及 TuxCare 的 FIPS和STIG概况.
免费启用FIPS模式
任何运行 AlmaLinux 9.2 的用户都可以免费启用 FIPS 模式用于非商业用途以符合标准。仅需从 TuxCare 仓库安装社区软件包，开启 FIPS 模式，然后重启系统即可：
dnf -y install https://repo.tuxcare.com/fips/tuxcare-fips-release-latest-9.noarch.rpm
dnf -y install openssl-3.0.7-20.el9_2.tuxcare.1 kernel-5.14.0-284.11.1.el9_2.tuxcare.5
fips-mode-setup --enable
reboot系统恢复后，将运行经过验证的加密功能。如需完整操作指南，包括如何验证，请参见 FIPS认证更新博文.
重要：AlmaLinux OS 9.2 支持状态
AlmaLinux OS 9.2 已不再由 AlmaLinux OS 基金会提供支持，这意味着我们不再为其发布更新。该版本在 AlmaLinux OS 9.3 发布时已退出基金会支持。有关发行支持的详细信息，请参见 AlmaLinux 发布说明.
如需持续支持服务，包括FIPS支持，请参见我们的 支持选项.
新版本的AlmaLinux正在持续进行认证工作。 AlmaLinux 9.6 的 FIPS 140-3 认证目前正在推进中，其加密模块已列入 NIST 的“正在处理的模块”列表。AlmaLinux 9.6 的免费 OpenSSL 和内核模块现已可供安装；查看 TuxCare 的 AlmaLinux FIPS 文档 获取安装步骤。关于更多背景信息，请参阅 TuxCare的FIPS页 以及 9.6版本认证更新.
