web-dev-qa-db-ja.com

Linux用のFIPS-140-2認定ソリューションはありますか？

私はこれが何を含むのか100％確信さえしていませんが、私の現在の理解はこれです：

  • ネットワークトラフィックには承認された暗号化アルゴリズムのみを使用します（簡単に、SSLを使用し、アルゴリズムを本当に強力なものだけにロックダウンします）。

  • ディスク暗号化と物理的な改ざんが明らかなパッケージングを含む、何らかの形式の物理データ保護。

明らかに、改ざん防止製品が必要な場合は、私たち自身で対応します。しかし、暗号化用のソフトウェアについてはどうでしょうか。私の推測では、 [〜＃〜] luks [〜＃〜] （安全ではありますが）はオープンソースであるため認定されません（ここでは独自のソリューションに少し偏っているようです）。

Guardian Edge 誰かが言及しましたが、それは完全なWindowsベースのようです。したがって、Linuxで使用できる認定済みの FIPS-14 準拠のようなものが必要です。

linuxencryption
5
Mark Renouf

OpenSSLは、しばらく前にFIPS-140-2の認定を受けました。 OpenSSLの特定のバージョンとビルドを使用する必要がありますが、本当に認定が必要な場合は、他のさまざまな方法でも問題が発生している可能性があります。

厄介な詳細については、 http://www.openssl.org/docs/fips/UserGuide-1.1.1.pdf を参照してください。

6
womble

Red Hat Enterprise Linux 5（および間もなく6）には、多数のFIPS 140-2認定モジュール：

http://www.redhat.com/solutions/industry/government/certifications.html

2
Gunnar Hellekson

2013年4月の時点で、RedHatはSSL/TLSプロトコルライブラリのOpenSSLおよびNSS実装、およびOpenSSHやOpenswanなどの多くのアプリケーションへの統合についてFIPS 140-2認証を取得しています。 （IPSecデーモン）。

1
Charles S.

OpenSSLは現在、gccコンパイラ4.1.2でコンパイルされたOpenSUSE 10.2のバージョン1.2にのみ準拠しています NISTドキュメントによる ！規制およびコンプライアンス環境（HIPAA、SOX、PCI、FTC Red Flagなど）の増加に伴い、より多くのオープンソースの取り組みがこれに必要なレビューをすぐに受けることが絶対に不可欠です。 OpenSSL、TrueCrypt、GPGなどのオープンソース製品に依存している（私たちのような）小さな組織はたくさんあります。これらのプロジェクトは、確立された精査された暗号化スキームを使用し、新しいものが利用可能になると進化します。 FIPS 140-2は、政府だけでなく、すべての規制対象環境の事実上の標準になりつつあり、ますます多くの小規模な組織の手の届く範囲にある、より多くのプログラムを認定する必要があります。標準に従います。

あなたの質問に答えるために、OpenSSLの外ではありません！ :)

1
nedm