Как встретить FIPS 140-2, создав исходный код для Android L

Question

Мы работаем над приложением Android L, которое предназначено для использования криптографии с проверкой подлинности FIPS 140-2.

Насколько мне известно, Adroid имеет библиотеку FIPS, но еще не подтвержден. (После компиляции есть libssl.so и libcrypto.so в out/system/lib /)

Как настроить файл envsetup.sh или создать файл или исходный файл для создания libssl.so и libcrypto.so для удовлетворения требование FIPS 140-2?

Спасибо.

Answer 1

Как встретить FIPS 140-2 путем создания исходного кода для Android L

Android L операционная среда (OE) в ФИПС терминологии. Рассматривая таблицу OpenSSL FIPS 2.0 Security Policy, табл. 2, стр. 10-12, OE не подтвердилось в соответствии с сертификатом 1747. Таким образом, короткий ответ: Вы не можете.

Чем дольше ответ, Вы можете связаться с OpenSSL Foundation, и, возможно, получить change letter или private label validation. Он может основываться на коротком ответе Вы не можете путем превращения его в Вы можете с использованием сертификата 1747 в качестве отправной точки, а затем удовлетворения дополнительных требований бюрократии.

---

Действительно длинный ответ, Вы не можете потому что CMVP недавно изменил некоторые правила. CMVP хотел, чтобы правило изменилось, чтобы применить задним числом к ​​существующим - уже утвержден - валидации. Если OpenSSL не согласился, CMVP не одобрил будущие письма с изменениями и частные проверки на основании сертификата 1747.

OpenSSL не согласился с тем, что он применим ретроактивно к существующим валидации (фактически, он не подтвердил завершение проверки), и это было нечестным для людей, которые финансировали эти проверки. CMVP ответил, сняв несколько предыдущих проверок по сертификату 1747.

Если вы следите за этим событием, то это сердечник The FIPS 140-2 "Hostage" Issue. Мне говорят, что крупный новостной канал с расследовательской отчетностью готовится опубликовать статью о действиях CMVP и о том, как ее вредное программное обеспечение с открытым исходным кодом, интернет-пользователи и федеральные агентства США. Он должен быть в строках статьи The U.S. Government: Paying to Undermine Internet Security, Not to Fix It.

---

Два соответствующих ресурсов если у вас есть утвержденный операционной среды являются FIPS Library and Android и OpenSSL and Android. OpenSSL предоставляет их через свою вики.

---

Если вам нужна дополнительная информация или рекомендации о том, как поступить, то contact Steve Marquess of the OpenSSL Foundation.