Go dev.boringcrypto 分支 - x/crypto 库 FIPS 140-2 合规性

Question

dev.boringcrypto branch of Go用 FIPS 验证的版本替换内置的加密模块:

We have been working inside Google on a fork of Go that usesBoringCrypto (the core of BoringSSL) for various cryptoprimitives, in furtherance of some work related to FIPS 140-2.We have heard that some external users of Go would be interested inthis code as well, so this branch holds the patches to make Go useBoringCrypto.

翻阅源代码，我可以看到对低级加密代码的修改。但是，我一直在使用的 Go 包都使用 x/crypto library ，乍一看我在分支中看不到任何引用。我想澄清一下这个库相对于 FIPS 140-2 的适用性——如果我编译一个使用 x/crypto 的项目和一个 boringcrypto Go build，这个库会变得符合 FIPS 吗？好吗？

如果不是这种情况 - 为什么不呢？如果 Go 有一个维护的 FIPS 验证分支，为什么一个基本的加密库不也有相同的修改？

Answer 1

一旦有活跃的CMVP (密码模块验证程序)，对于您正在使用的库，那么您可以放心通过 FIPS 140-2 验证。

请记住，与 FIPS 相关的有“合规性”和“认证”两个概念。

“合规性”是指底层密码在已批准的加密原语列表中，即 AES256-CBC。

“认证/验证”是指基础库已由 NIST 批准的实验室专门审核的地方。

对于 FIPS 140-2 生产用途(FedRAMP 等)，您必须依赖后者。

看起来像CMVP #3753正是您所需要的。

对证书基础参数的任何修改都会使认证失效。