如何在启用FIPS的Amazon Linux服务器安装Radius MFA并解决MD5报错

问题根源 #

FIPS模式下会强制禁用MD5这类非合规加密算法，因此需要将Radius（以FreeRADIUS为例）的所有MD5相关配置替换为SHA系列算法。

操作步骤 #

1. 确认FreeRADIUS版本

不同版本的配置路径略有差异，先检查当前版本：

freeradius -v

2. 修改主配置文件

编辑/etc/raddb/radiusd.conf，找到digest_algorithm配置项，替换为SHA256（推荐）或SHA1：

digest_algorithm = sha256

3. 调整EAP认证模块配置

编辑/etc/raddb/mods-enabled/eap，做以下修改：

• 注释或删除所有eap md5相关的配置段；
• 启用并配置PEAP/TLS等合规认证方式，指定SHA算法：

  eap {
      default_eap_type = peap
      timer_expire = 60
      ignore_unknown_eap_types = no
      cisco_accounting_username_bug = no
  
      peap {
          default_eap_type = mschapv2
          fragment_size = 1024
          tls_min_version = 1.2
          tls_max_version = 1.3
          digest = sha256
      }
  
      tls {
          private_key = ${certdir}/server.key
          certificate = ${certdir}/server.crt
          ca_file = ${cadir}/ca.crt
          cipher_list = "ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384"
          digest = sha256
      }
  }
  

• 若之前启用了MD5模块，禁用它：

  rm /etc/raddb/mods-enabled/md5
  

4. 更新客户端配置

编辑/etc/raddb/clients.conf，为客户端指定合规算法并开启消息认证：

client your_client_subnet {
    ipaddr = 192.168.1.0/24
    secret = your_strong_compliant_secret
    require_message_authenticator = yes
    digest_algorithm = sha256
}

5. 生成FIPS合规证书

如果使用TLS/PEAP认证，生成SHA256签名的证书：

# 生成密钥和证书
openssl req -x509 -newkey rsa:2048 -keyout /etc/raddb/certs/server.key -out /etc/raddb/certs/server.crt -days 365 -sha256 -nodes
# 设置权限（符合FIPS权限要求）
chmod 600 /etc/raddb/certs/server.key /etc/raddb/certs/server.crt
chown radius:radius /etc/raddb/certs/server.key /etc/raddb/certs/server.crt

6. 验证配置并启动服务

• 检查配置语法合法性：

  freeradius -XC
  

• 启动并验证服务状态：

  systemctl start freeradius
  systemctl status freeradius
  

7. 测试MFA认证

使用radtest工具测试认证流程，确认无MD5相关错误：

radtest your_mfa_username your_mfa_password localhost 0 your_strong_compliant_secret -x

注意事项 #

• 优先选用SHA256及以上算法，SHA1虽符合FIPS但安全性弱于SHA2系列；
• 确保所有对接Radius的终端设备（VPN、WiFi等）同步配置为使用指定的SHA算法，禁止使用MD5；
• 定期轮换证书和密钥，保持符合FIPS合规的安全要求。

内容的提问来源于stack exchange，提问作者Sharan Chhibber