Validation FIPS 140-3 et STIG DISA pour le système d'exploitation AlmaLinux

Accédez directement au résumé généré par l'IA de cet article de blog

FIPS 140-3

Une nouvelle passionnante : TuxCare a récemment reçu un certificat CMVP pour le noyau AlmaLinux 9.2 pour le noyau AlmaLinux 9.2 et figure désormais sur la liste NIST Active list (avant Red Hat et Oracle !), nous attendons notre certificat OpenSSL prochainement.

Les modules de l'espace utilisateur (libgcrypt, nss, gnutls) figurent sur la liste du liste MIP mais pourraient prendre quelques mois de plus en raison du retard pris par la CMVP, qui, grâce à la nouvelle procédure de programme de validation provisoire devrait avancer beaucoup plus rapidement - en effet, nous n'attendions pas notre certificat pour le noyau avant deux mois.

Nos paquets FIPS 140-3 font partie de nos Extended Security Updates (mises à jour de sécurité étendues) qui comprend des mises à jour des paquets FIPS (nous avons récemment procédé à une revalidation V2 du noyau afin d'inclure un correctif pour diverses vulnérabilités, dont la CVE-2024-1086 qui a fait son entrée dans le Catalogue des vulnérabilités exploitées connues) ainsi que la possibilité de rester sur une version mineure d'AlmaLinux pour une période prolongée tout en continuant à recevoir les mises à jour de sécurité - plus de cycle de vie de 6 mois ou de choix entre la sécurité ou la conformité pour vos produits ou votre infrastructure !

Outre la cryptographie, la validation FIPS démontre également que le fournisseur applique des tests logiciels rigoureux, qu'il a investi dans un modèle de développement mature et qu'il s'est engagé à maintenir la sécurité des modules.

Il n'est pas nécessaire de travailler avec le gouvernement américain pour bénéficier de produits validés par la norme FIPS 140-3. Toute personne souhaitant protéger ses données et la vie privée de ses clients devrait envisager d'activer le "mode FIPS" sur ses serveurs, afin d'avoir la certitude que la cryptographie utilisée par son serveur web, son serveur de messagerie, son accès à distance, etc. a fait l'objet de tests approfondis. Le processus de validation garantit également que la implémentation de cette cryptographie dans le logiciel a été vérifiée et comprend des étapes pour empêcher la modification ou l'exécution avec des configurations non autorisées.

DISA STIG

(Mise à jour le 4 décembre 2024)

Notre prochaine nouvelle - depuis un peu plus d'un an, TuxCare travaille avec la DISA à la rédaction d'un STIG pour AlmaLinux OS 9.

Vous pouvez maintenant lire l'annonce de publication de la DISA. l'annonce de publication de la DISA et télécharger la STIG !

L'automatisation Ansible/Chef/SCAP sera bientôt proposée par la DISA, mais pour ceux qui ne peuvent pas attendre, ma propre automatisation peut être trouvée iciElle a déjà été utilisée par certains de nos clients dans le cadre d'un projet pilote.

Qu'est-ce qu'un STIG ? STIG est l'abréviation de Security Technical Implementation Guide (Guide de mise en œuvre technique de la sécurité). Il s'agit d'un ensemble de normes de configuration sécurisées pour l'utilisation d'un produit (système d'exploitation, matériel, logiciel....) au sein du ministère américain de la défense et des réseaux associés (DoDIN).

Un cadre de cybersécurité tel que la norme ISO 27001 décrirait les STIG comme suit "un ensemble d'exigences de conformité en matière de sécurité informatique et de contrôles techniques permettant de les atteindre".

Les exigences sont largement basées sur l'omniprésence de la norme NIST SP800-53. Elles comportent trois catégories de gravité : la catégorie I pourrait entraîner des pertes de vies humaines, la catégorie II pourrait entraîner des blessures ou la perte de confidentialité, d'intégrité ou de disponibilité (connue dans le monde de l'infosécurité sous le nom de "triade de la CIA"). triade de la CIA) et enfin la catégorie III pourrait entraîner des retards dans la reprise après sinistre ou la perte de la capacité à se protéger contre les catégories de risque les plus élevées.

L'utilisation de modules cryptographiques FIPS est obligatoire dans le cadre d'une STIG, de même que certaines politiques très strictes telles que l'authentification par SmartCard, la protection CPU/RAM, le cryptage intégral du disque LUKS et l'utilisation d'USBGuard - plus question de brancher votre téléphone portable sur votre ordinateur portable professionnel !

Encore une fois, il n'est pas nécessaire de faire partie du gouvernement américain pour trouver de la valeur et utiliser une STIG - il s'agit probablement du niveau le plus élevé d'orientation en matière de renforcement de la sécurité, couvrant des pratiques telles que AAA, DLP, le contrôle d'accès physique/logique et le moindre privilège ; elle est disponible gratuitement et, avec divers outils capables de tester la conformité à la STIG, elle pourrait être la réponse à tous vos besoins en matière de conformité à la cybersécurité.

Critères de référence du SID

Enfin, je suis fier d'annoncer que le Center for Internet Security a publié la version 2.0.0 d'AlmaLinux OS 9 qui a été testé sur la version 9.4 qui a été testé sur 9.4, est pris en charge par la dernière version de CIS-CAT Pro et sera disponible sous la forme d'un kit de construction dans le courant du mois.

J'ai mis à jour mon système d'automatisation Ansible/libvirt Ansible/libvirt qui inclut également la prise en charge du système d'exploitation AlmaLinux OS 8 v3.0.0 point de repère.

Les principales mises à jour sont basées sur les changements reportés des derniers tests AlmaLinux OS 8 et Debian 12, afin de simplifier les conseils concernant les politiques de cryptage à l'échelle du système, le déchargement des modules du noyau et la suppression des paquets par rapport aux services de masquage. Des changements similaires seront introduits dans le prochain test Ubuntu 24.04.

Le personnel de TuxCare consacre son temps et son expertise au développement et au test des critères CIS et nous travaillons avec divers fournisseurs de produits de sécurité pour garantir que l'analyse de la conformité des distributions Linux que nous soutenons est maintenue à jour. Un grand nombre de nos clients utilisent les critères CIS pour leurs bases de sécurité internes ou pour des produits qui ne nécessitent pas de se conformer à la législation du gouvernement américain.

Contactez nous dès aujourd'hui pour discuter de vos besoins en cybersécurité !

Résumé