问题标签 [fips]

是像使用符合 FIPS 140 的加密提供商一样简单，还是还有更多？如果它是 Web 应用程序与 Windows 应用程序有区别吗？如果它是分布式应用程序怎么办？对于 IIS、WCF、ASP.Net、Silverlight、AJAX 等是否有任何特殊考虑？

谢谢

我担心的是垃圾收集器管理的加密密钥和机密可能会在内存中复制和移动而无需归零。

作为一种可能的解决方案，是否足以：

编辑：请注意，我的问题不仅与对象的官方（引用）副本的归零有关，还与垃圾收集器在为空间和速度效率洗牌时可能制作的任何陈旧副本有关。

最简单的例子是mark-and-sweep GC，其中对象被标记为“引用”，然后所有这些对象都被复制到另一个区域。其余的都是垃圾，所以它们被收集起来。当复制发生时，可能会留下垃圾收集器不再管理的剩余密钥数据（因为“官方”数据在新区域中）。

对此的试金石是，如果您在加密模块中使用密钥，将密钥归零，然后检查整个 JVM 进程空间，您应该找不到该密钥。

我们有一个 .NET 2.0 应用程序，它使用RijindaelManaged该类来加密一些敏感数据。这很好，直到我们遇到一些需要使用 FIPS 兼容算法的机器。

我们想切换到AesCryptoServiceProvider.NET 2.0，但我们的大多数目标机器都没有升级到 .NET 2.0。要求升级是不可能的。毕竟，升级是可怕的！

有什么方法可以AesCryptoServiceProvider在 .NET 2.0 应用程序中使用？由于 3.5 使用 2.0 CLR，我希望有一种方法可以将所需的库构建到应用程序中。如果做不到这一点，有人可以指出我对由 包装的本机 API 的引用AesCryptoServiceProvider吗？

我在 JCE 中使用了 FIPS 提供程序，但实际上看不出任何区别——我专门寻找最大密钥大小，但没有发现任何区别。

启用 FIPS 实际上提供了哪些优势？

问题很简单，是否可以在 Perl 中创建符合 FIPS 140-2 的服务器？特别是，是否可以不修改模块的任何 C 代码？如果在直接的 Perl 中不可能，那么从 C 的角度来看，最简单的方法是什么？

我基本上是在创建一个仅提供单个文件的 mini-httpd，但由于安全限制，它需要在符合 FIPS 的 SSL 上提供。

我需要了解如何使 ASP.NET Web 应用程序符合 FIPS。为了简单起见，我在 VS 2008 中创建了一个新的 Web 应用程序。我在我的开发机器上启用了 FIPS，因为使用 Web 应用程序的客户端将是一个执行 FIPS 的联邦机构。

我什至无法编译新的 Web 应用程序 - 因为它给了我错误：

此实现不是 Windows 平台 FIPS 验证的加密算法的一部分。

我已阅读文档并将以下元素添加到 web.config 文件中：

但我仍然得到这个错误。同样，在我尝试让它与我的实际解决方案一起工作之前，我想让它与一个全新的 Web 应用程序一起工作。

我正在为框架使用 .NET 3.5 SP1。

任何帮助将不胜感激。

谢谢。

克里斯

我SHA1Managed在我的代码中使用该类，但是当我在特定机器上运行它时会导致问题。我得到这个例外：

System.InvalidOperationException：此实现不是 Windows 平台 FIPS 验证的加密算法的一部分。

问题是由SHA1Managed不符合 FIPS 的 引起的。

哪个 .NET SHA1 类符合 FIPS 标准？

（我想我可以全部尝试一下，但我无法轻松访问问题机器，而且我怀疑我无法在我的开发机器上启用 FIPS。而且我很懒惰。）

我们的应用程序有几个部分使用 AJAX.NET 5.7.25.1。我们的服务器管理员已启用 FIPS，但我们遇到了以下错误：

此实现不是 Windows 平台 FIPS 验证的加密算法的一部分。

调用堆栈：

较新版本的 AJAX.NET 库是否符合 FIPS？

问题是如果您在 Windows 安全策略设置中强制执行 FIPS 验证加密，则会引发异常，因为 RADIUS 协议使用 MD5 算法对请求身份验证器进行哈希处理。没有经过 FIPS 验证的替代 MD5 算法，因此在提供 FIPS 验证加密的机器上似乎没有任何 RADIUS 代码实现是可能的。

这是否意味着 RADIUS 与 FIPS 验证互斥？

该代码实现了官方 RFC ( https://www.rfc-editor.org/rfc/rfc2865 )指定的 RADIUS 协议。

我以下列方式使用 System.Security.Cryptography 的 TripleDESCryptoServiceProvider：

我想知道这是否符合 FIPS 140-2。我发现许多页面概述了合规性的不同方面，但在我看来，微软通过平台而不是类获得合规证书（有道理）。取而代之的是，我无法找到任何肯定的确认上述密码符合 FIPS 140-2。到目前为止，我发现的最有用的链接：

• Microsoft 的 FIP 文档：
  http ://technet.microsoft.com/en-us/library/cc750357.aspx http://support.microsoft.com/kb/811833

• NIST DES 信息

• 展示如何“转储”系统核心库加密模块及其合规性的博客

• FIPS 证书列表

简而言之，有人知道此类/加密方法属于哪个证书编号吗？还是特定于平台？（这就是我正在收集的内容。）