如何在启用 FIPS 的 Amazon Linux 服务器上安装 Radius MFA

Question

我正在尝试在符合 FIPS 的 Linux 服务器上安装 Radius MFA，但收到与 MD5 相关的错误

“md5_dgst.c(82)：OpenSSL 内部错误，断言失败：在 FIPS 模式下禁止摘要 MD5！”

我了解 MD5 不符合 FIPS。有人可以帮助我完成使用 SHA1、SHA2 等特定密码安装 Radius MFA 的步骤吗？

谢谢你。

Answer 1

如果您正在安装 freeradius 软件包，您可能需要设置一个环境变量来加载 RADIUS 的不符合 FIPS 的 MD5 密码。 RHEL 论坛上对此有一些讨论。不同的版本可能支持不同的环境变量。

我通过设置

OPENSSL_FIPS_NON_APPROVED_MD5_ALLOW=1

成功安装了 freeradius v3.0.26 并在 Amazon Linux2 上运行。您可以通过在调试模式下运行 radius 来测试这一点：

OPENSSL_FIPS_NON_APPROVED_MD5_ALLOW=1 radiusd -X

从客户端使用

radclient

或

radtest

发出身份验证请求。

一旦证明它有效，您就可以使用此环境变量修改 systemd 单元：

...
[Service]
Environment=OPENSSL_FIPS_NON_APPROVED_MD5_ALLOW=1
...

接下来确保重新加载systemd

systemcl daemon-reload

然后就可以启动服务了。

请参阅以下链接了解更多详细信息：

• https://bugzilla.redhat.com/show_bug.cgi?id=1872689
• https://bugzilla.redhat.com/show_bug.cgi?id=1958979
• https://networkradius.com/articles/2020/10/28/freeradius-fips.html#:~:text=As%20FreeRADIUS%20使用%20cryptographic%20协议，是%20the%20most%20truthful%20one。