FIPS 模式配置

FIPS 模式让系统只使用通过 FIPS 验证的加密算法模块(OpenSSL、GnuTLS、NSS、内核 crypto API 等)。验证级别按版本不同：RHEL 8 的多数模块仍是 FIPS 140-2 验证，RHEL 9/10 逐步转为 140-3——具体到某个模块以 NIST CMVP 清单与 Red Hat 的合规文档为准。它是美国联邦系统和许多金融、医疗合规场景的硬性要求。EL 系统内置了完整的 FIPS 支持,启用后由 crypto-policies 统一收口所有加密组件的策略。

FIPS 模式改变了什么

启用 FIPS 后:

crypto-policies 切换到 FIPS 子策略,OpenSSL、GnuTLS 等库自动禁用未验证算法(MD5、DES、RC4 等)
内核 crypto API 进入 FIPS 模式,自检(self-test)在启动时执行
不合规的算法调用会直接报错,而不是悄悄降级

RHEL 8/9:用 fips-mode-setup 启用

$ sudo fips-mode-setup --enable
$ sudo systemctl reboot

$ fips-mode-setup --check
FIPS mode is enabled.
$ update-crypto-policies --show
FIPS

如需关闭:

$ sudo fips-mode-setup --disable
$ sudo systemctl reboot

RHEL 10:优先用内核参数启用

RHEL 10 的推荐做法是设置 fips=1 内核启动参数（fips-mode-setup 在 10 上的可用性请以官方文档为准；下面的内核参数写法在各版本都有效）:

$ sudo grubby --update-kernel=ALL --args="fips=1"
$ sudo systemctl reboot

$ cat /proc/sys/crypto/fips_enabled
1
$ update-crypto-policies --show
FIPS

在 AlmaLinux / Rocky Linux 上

重建版包含与 RHEL 相同的 crypto-policies 与内核 FIPS 支持,启用方法一致。但注意:“已验证模块”以各发行版自家的 FIPS 验证状态为准——严格合规场景请先确认所用发行版的验证清单与范围,拿不准时直接用 RHEL(其验证状态有 Red Hat 官方背书)。

云与镜像场景

主要云平台提供预启用 FIPS 的官方镜像(搜索 “FIPS” 镜像即可),新机直接合规
使用 Image Mode / bootc 时,在 Containerfile 中声明:

FROM registry.redhat.io/rhel10/rhel-bootc:latest

RUN mkdir -p /etc/kernel/cmdline.d && \
    echo "fips=1" > /etc/kernel/cmdline.d/fips.conf && \
    update-crypto-policies --set FIPS

常见问题

应用在 FIPS 下报错怎么办?

典型报错如 digital envelope routines::unsupported——说明应用调用了未验证算法(MD5、旧 TLS 版本)。处理顺序:升级应用到支持 FIPS 的版本 > 调整应用配置改用合规算法 > 向 Red Hat/厂商反馈。不建议为了绕开报错改回 DEFAULT 策略,那会让整个系统失去合规状态。

FIPS 和 OpenSCAP 是什么关系?

互为补充:OpenSCAP 用 CIS/PCI 等基线扫描系统配置;FIPS 是其中加密合规格子项的系统级实现。审计脚本不要只依赖 fips-mode-setup --check（RHEL 10 上可能不可用），更稳的判定是读内核开关：cat /proc/sys/crypto/fips_enabled（1 = FIPS 已启用）。OpenSCAP 合规扫描可以覆盖这一项的自动化检查。