EL 8：全系统加密策略
EL 8 引入全系统加密策略（system-wide crypto policies）：用 update-crypto-policies 一条命令，同时设定 OpenSSL、GnuTLS、OpenSSH、NSS、libssh 等组件允许的协议版本与算法强度。在此之前，每个组件各有一套配置文件，“全站禁用弱算法”是一项散落多处的工程。
这是什么变化
Section titled “这是什么变化”策略以”等级”形式表达，落在 /etc/crypto-policies/：
| 等级 | 含义 |
|---|---|
| LEGACY | 兼容老设备（保留 SHA-1、TLS 1.0/1.1 等） |
| DEFAULT | 平衡安全与兼容（EL 8 默认） |
| FUTURE | 面向未来的更严选择 |
| FIPS | 满足 FIPS 140 要求的子集 |
| （子策略） | 如 DEFAULT:SHA1、AD-SUPPORT 等叠加微调 |
每个加密组件安装一个 backend 配置文件（如 /etc/crypto-policies/back-ends/opensslcnf.config），组件启动时读取；update-crypto-policies --set 只切换一个符号链接式的全局选择，所有组件随之生效。
这条机制后来成为 EL 生态安全叙事的地基：EL 9 的 OpenSSL 3.0 provider 与 EL 10 默认禁用 SHA-1，都是在它之上叠加的。
EL 7 → EL 8 对比
Section titled “EL 7 → EL 8 对比”| 项 | EL 7 | EL 8 |
|---|---|---|
| 算法强度配置 | 每组件各自配置 | 统一 crypto-policies |
| 切换命令 | 无 | update-crypto-policies --set … |
| 查看当前策略 | 无 | update-crypto-policies --show |
| FIPS 合规 | 手工配置 | FIPS 等级 + fips-mode-setup |
- 运维：安全基线落地从”改 N 个配置文件”变成一条命令 + 重启受影响服务；审计也有了单一事实来源。
- 兼容老设备：对接只支持 TLS 1.0/1.1 或 SHA-1 签名的老设备时，先评估
LEGACY或子策略的代价，而不是逐个组件放水。 - 开发：应用若直接硬编码算法（绕过组件默认），策略不生效——这类代码在 EL 8+ 上属于隐患。
update-crypto-policies --showsudo update-crypto-policies --set FUTUREsudo fips-mode-setup --enablesudo fips-mode-setup --checkFIPS 模式的完整步骤与验证见 FIPS 模式。
- FIPS 模式 — FIPS 等级与合规验证
- EL 9：OpenSSL 3.0 — provider 架构如何与策略协作
- EL 10：后量子加密 — 策略体系的下一步
- SSH 安全配置 — OpenSSH 侧的算法落地