PowerMTA 6.0 работает на OpenSSL 3.0.8, в котором есть сертифицированный модуль FIPS 140-2 (сертификат #4282). По умолчанию MTA берёт алгоритмы из обычного модуля; в режиме FIPS — только одобренные.
Включается файлом, а не строкой конфигурации. В /var/lib/pmta/fips выполняют ./openssl fipsinstall -out fipsmodule.cnf -module ./fips.so; при запуске MTA проверяет, есть ли fipsmodule.cnf, и пишет в журнал о включённом FIPS. Чтобы выключить, файл удаляют и перезапускают MTA.
Включить и выключить:
| Действие | Как | Чем подтверждается |
|---|---|---|
| включить | openssl fipsinstall в /var/lib/pmta/fips, запуск | запись о FIPS в журнале |
| выключить | удалить fipsmodule.cnf, перезапуск | записи нет в журнале запуска |
cd /var/lib/pmta/fips ./openssl fipsinstall -out fipsmodule.cnf -module ./fips.so
Связанные записи
1 связь
Файл настройки модуля FIPSФайл, которого этот порядок и касается. § 2.8
grep -n 'FIPS' /var/log/pmta/log | tail -1 ls -l /var/lib/pmta/fips/fipsmodule.cnf
Что ещё почитать
3 статьи
◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.
- Цена ошибки
- безопасно: неверное значение ничего не ломает
- Сценарии
- Безопасность узла