Этот ответ кажется немного резким. Включение режима соответствия FIPS-140 действительно обеспечивает некоторую защиту. Это предотвращает использование более слабой криптосхемы, которая является защитной.
На самом деле, из вышеприведенного комментария можно сделать вывод, что «он резко сокращает выбор, который имеет система», - он удаляет крипто-схемы, которые федеральные державы больше не считают подходящими. И, как отмечается в ответе: «Включение режима FIPS 140 отключает все, что не соответствует FIPS». Вещи , которые не FIPS 140 совместимый не будет известно работать.
Оказывается, это хорошо. В течение первых пяти лет работы программы проверки криптомодулей было обнаружено, что 25% представленных пакетов имели ошибки в документации, а 8% - ошибки в реализации. То есть, если вы зависели от уже имеющегося коммерческого пакета, был один шанс из двенадцати, что он был сломан и не обеспечивал никакой защиты, кроме дыма.
Но тон сообщения - что включение дисциплины FIPS 140 разрушает вещи - увы, правильно. Крипто сложно. У программистов часто нет дисциплины, чтобы делать это правильно, особенно с устаревшим программным обеспечением. Если вы не в федеральной среде, где вы должны это делать, большинство людей этого не делают.
Но это, видимо, меняется. Предприятия ожидают от своих программистов дисциплинированного обеспечения безопасности. Я слышу, как клиенты говорят: «Вы знаете, есть этот STIG, который используют федералы, разве мы не должны это делать?«Наличие стандартов (а FIPS - это просто" Федеральные стандарты обработки информации ") - это хорошо, и поддерживает функциональную совместимость и точность.
Поэтому, если вы правильно включите режим FIPS 140, у вас есть веские основания ожидать, что другая сторона, если она правильно настроена, сможет работать и в режиме FIPS 140. Если нет, сообщите об этом как об ошибке поставщику системы!
