總覽
FIPS 140-3 廣被視為密碼學安全的黃金標準，在美國以外也獲得認可，並被列為必要要求。AlmaLinux OS 9.2 符合這項標準，其核心及 OpenSSL 密碼模組已通過 NIST 密碼模組驗證計畫的獨立驗證，並列於有效清單中。
這讓 AlmaLinux 成為首個擁有 FIPS 140-3 驗證核心的 EL9 發行版，而通過驗證的套件可免費用於非商業用途。以下說明什麼是 FIPS、為什麼重要，以及如何啟用。
這項驗證由 TuxCare 贊助。TuxCare 是 CloudLinux 的企業支援部門，也是 AlmaLinux 的創始白金級贊助商，承擔了高額費用與工程投入，並將經驗證的套件提供給社群作非商業使用。
驗證歷程
| 日期 | 里程碑 |
|---|---|
| 2022 年 12 月 | AlmaLinux OS 9 的核心與 OpenSSL 模組列入 NIST 的 Implementation Under Test（實作測試中）清單。 |
| 2023 年 6 月 | 取得 CAVP 憑證，確認密碼演算法的實作正確。 |
| 2023 年 9 月 | 取得 ESV 熵來源憑證。AlmaLinux 是首個使用 SHA3-256 作為熵調節函式，取得 FIPS 140-3 ESV 憑證的軟體實作。 |
| 2024 年 10 月 | AlmaLinux OS 9.2 核心通過 FIPS 140-3 驗證，列入 NIST CMVP 有效清單（憑證 #4750），成為 EL9 發行版首個取得 FIPS 140-3 憑證的核心。 |
| 2024 年 10 月 | OpenSSL FIPS 提供者列入有效清單（憑證 #4823）。 |
什麼是 FIPS？
FIPS（Federal Information Processing Standards，美國聯邦資訊處理標準）是美國政府發布的密碼學標準。FIPS 140-3 是目前版本，定義了密碼模組必須符合的安全要求。
密碼模組必須先經認可實驗室測試，再由 NIST 密碼模組驗證計畫認可測試結果，才能通過驗證。AlmaLinux OS 9.2 是首個使用 SHA3-256 作為調節函式，取得 FIPS 140-3 ESV 憑證的軟體實作。
通過驗證與符合規範是兩回事。模組通過獨立實驗室測試、列入有效清單後，就能取得驗證；系統則必須在認證的運作環境中，以 FIPS 模式執行經驗證的模組，才算合規。即使一般修補或核心更新等例行變更，也可能讓經驗證的密碼技術超出認證範圍。因此，要讓系統長期合規，更新時就必須維持經驗證的模組。這些套件可免費用於非商業用途；持續符合 FIPS 規範的修補服務及商業使用，則由 TuxCare 的企業支援服務提供。請參閱 TuxCare 的 FIPS 頁面.
為什麼重要
FIPS 140-3 在全球廣受認可與重視。舉例來說，歐盟的 NIS 2 指令要求採用以既有公認標準為基礎的最新加密技術。
對政府、金融、醫療機構，以及任何處理敏感資料的單位而言，採用經過驗證的密碼技術通常是必要條件，而非額外加分。FIPS 驗證為這些組織提供獨立保證，確認其系統底層密碼技術的可靠性。
經過驗證的密碼技術，也是 DISA 安全技術實作指南（STIG）的先決條件。AlmaLinux OS 9 是少數擁有正式發布 DISA STIG 的 RHEL 家族發行版之一，為受法規監管及美國國防部環境提供官方的安全強化基準。請參閱 NIST 國家檢查清單計畫中的 AlmaLinux OS 9 STIG 及 TuxCare 的 FIPS 與 STIG 簡介.
免費啟用 FIPS 模式
任何使用 AlmaLinux OS 9.2 的人，都能免費啟用 FIPS 模式、符合標準，限非商業用途。請從 TuxCare 套件庫安裝社群套件，啟用 FIPS 模式後重新啟動：
dnf -y install https://repo.tuxcare.com/fips/tuxcare-fips-release-latest-9.noarch.rpm
dnf -y install openssl-3.0.7-20.el9_2.tuxcare.1 kernel-5.14.0-284.11.1.el9_2.tuxcare.5
fips-mode-setup --enable
reboot系統重新啟動後，就會使用已通過驗證的密碼技術。完整操作流程及驗證方法，請參閱 FIPS 驗證進度部落格文章.
重要：AlmaLinux OS 9.2 支援狀態
AlmaLinux OS Foundation 已停止支援 AlmaLinux OS 9.2，因此我們不再為它發布更新。基金會的支援已在 AlmaLinux OS 9.3 發布時終止。如需版本支援的詳細資訊，請參閱 AlmaLinux 版本資訊.
如果您需要包含 FIPS 在內的持續支援服務，請參考我們的 支援選項.
較新 AlmaLinux 版本的驗證工作持續進行中。 AlmaLinux 9.6 的 FIPS 140-3 認證正在進行中，其密碼模組已列入 NIST 的 Modules in Process（驗證作業中）清單。免費的 AlmaLinux 9.6 OpenSSL 與核心模組已可安裝，請參閱 TuxCare 的 AlmaLinux FIPS 文件 ，了解操作步驟。如需更多背景資訊，請參閱 TuxCare 的 FIPS 頁面 以及 9.6 驗證進度.
