Configuration de Kerberos afin qu'il s'exécute en mode FIPS 140

Avant de commencer

Pour que Kerberos s'exécute en Mode FIPS 140, vous devez activer le Mode FIPS 140 sur votre système. Reportez-vous à Création d’un environnement d’initialisation compatible FIPS 140 du manuel Gestion du chiffrement et des certificats dans Oracle Solaris 11.2 .

1. Modifiez les types de chiffrement pour le KDC.

   Dans la section [realms] du fichier kdc.conf, définissez le type de clé maître pour la base de données KDC :

   # pfedit  /etc/krb5/kdc.conf    
   ...
   master_key_type = des3-cbc-sha1-kd

2. Dans le même fichier, interdisez d'autres types de chiffrement de manière explicite.

   Etant donné que vous pouvez également définir le chiffrement en exécutant une commande, les fichiers de configuration doivent empêcher l'utilisation d'un argument d'algorithme non FIPS 140 dans une commande.

           supported_enctypes = des3-cbc-sha1-kd:normal

3. Modifiez les types de chiffrement pour les transactions dans la section [libdefaults] du fichier krb5.conf.

   Ces paramètres limitent les types de chiffrement pour les serveurs, services et clients Kerberos.

   # pfedit /etc/krb5/krb5.conf
           default_tgs_enctypes = des3-cbc-sha1-kd
           default_tkt_enctypes = des3-cbc-sha1-kd
           permitted_enctypes = des3-cbc-sha1-kd

4. Dans le même fichier, interdisez des types de chiffrement faible de manière explicite.

           allow_weak_enctypes = false

Dépannage

Reportez-vous à Types de chiffrement Kerberos