Month: November 2022

在 Red Hat Enterprise Linux 8 以後導入了整合的加密原則管理，透過 update-crypto-policies 指令就可以很方便的去設定系統加密原則。

使用以下指令就可以看到使用哪個原則

update-crypto-policies --show

預設都是 DEFAULT

若需要設定為 FUTURE 可以用

update-crypto-policies --set FUTURE

Red Hat 有針對這部份撰寫一篇 KB: System-wide crypto policies in RHEL ，說明是如何運作的。在產品手冊裡也有提到這部份：Chapter 4. Using system-wide cryptographic policies。若有需要客製化，可以參考 Red Hat 的另外一篇 How to customize crypto policies in RHEL 8.2 來進行客製化。

接下來講一下 sshd 的部份，一般若要讓 sshd 使用指定的金鑰交換原則或是加密原則，會說要去修改 /etc/sysconfig/sshd ，把裡面的

# System-wide crypto policy:
# To opt-out, uncomment the following line
#CRYPTO_POLICY=

改為

# System-wide crypto policy:
# To opt-out, uncomment the following line
CRYPTO_POLICY=

然後再去修改 /etc/ssh/sshd_config 。

這個設定實際上會影響的地方是 sshd systemd service ，我們可以用 systemctl cat sshd 來看看

# /usr/lib/systemd/system/sshd.service
[Unit]
Description=OpenSSH server daemon
Documentation=man:sshd(8) man:sshd_config(5)
After=network.target sshd-keygen.target
Wants=sshd-keygen.target

[Service]
Type=notify
EnvironmentFile=-/etc/crypto-policies/back-ends/opensshserver.config
EnvironmentFile=-/etc/sysconfig/sshd
ExecStart=/usr/sbin/sshd -D $OPTIONS $CRYPTO_POLICY
ExecReload=/bin/kill -HUP $MAINPID
KillMode=process
Restart=on-failure
RestartSec=42s

[Install]
WantedBy=multi-user.target

從這邊可以看到有兩行 EnvironmentFile，第一行 EnvironmentFile 去含括 /etc/crypto-policies/back-ends/opensshserver.config ，這就是系統的 ssh 加密原則設定。第二行 EnvironmentFile 含括的檔案，就是前面提到的 /etc/sysconfig/sshd 。

那在 ExecStart 這行可以看到啟動 sshd 時，有放置 $CRYPTO_POLICY ，表示會使用這個環境變數的內容。也因此，若在 /etc/sysconfig/sshd 裡移除 CRYPTO_POLICY 的註解，在啟動 sshd 時，就不會帶入參數，而使用 /etc/ssh/sshd_config 裡的設定。

在查到這邊時，我才想起之前好像有找過，但之前沒有記錄，沒記錄就容易忘記，所以今天特別記下來。