是否有组织审查/批准加密实施?

信息安全 密码学
2021-08-17 17:12:05

据我了解,NIST 批准了加密算法,但不涵盖特定的实现。我想我已经阅读了有关 IEEE 批准硬件实现的信息,例如 AES,但我想不出有任何组织可以为加密算法的软件实现执行类似的功能。

推论/后续问题:有许多开源、免费提供的加密库;这些是否由任何类型的监管机构标准化/批准?

1个回答

自 1995 年以来,NIST 确实还通过加密模块验证程序 (CMVP)对实施进行了认证,该程序验证加密模块是否符合 FIPS 140 标准。

OpenSSL 是开源的,OpenSSL FIPS 对象模块已通过此程序进行验证:OpenSSL:关于 OpenSSL 和 FIPS 140-2 的重要说明

OpenSSL FIPS 对象模块验证在所有 FIPS 140-2 验证中是独一无二的,因为该产品以源代码形式“交付”,这意味着如果您可以完全按原样使用它并且可以构建它(根据非常具体的文档说明) 对于您的平台,那么您可以在“供应商确认”的基础上将其用作经过验证的密码学。

请注意,正如他们所说,“这很复杂”。因此,请仔细检查这些链接,并为技术挑战和官僚挑战之间令人沮丧的互动做好准备。