Здание OpenSSL с FIPS на Mac OSX 10.11

Question

1. Возможно ли построить OpenSSL с FIPS на Mac OSX 10.11?

• Я стараюсь поддерживать совместимость с рядом других платформ, которые используют OpenSSL с FIPS.
• Я знаю, что Apple настоятельно рекомендует использовать CommonCrypto, и я считаю, что это будет работать для большинства моих потребностей в кросс-платформенной совместимости с использованием эквивалентных алгоритмов дайджест и шифрования.
• Это займет много дополнительной работы и будет отклоняться от общей структуры, которая была построена, и я бы предпочел избежать этого.
• Меня больше интересует совместимость и решение, которое будет работать, чем в проверке FIPS.

2. Есть ли совместимый DRBG OpenSSL (AES-256 с ФР), выпускаемый под Mac OSX 10,11

• Я понимаю, что DRGB под общей Crypto является AES-128

Answer 1

Возможно ли построить OpenSSL с FIPS на Mac OSX 10.11?

Да и Нет Да, вы можете сборки модуль объекта FIPS и еще FIPS Способный библиотека OpenSSL (акцент на строить).

Нет, потому что это не утвержденная платформа. Похоже, что единственной проверенной платформой OS X является Apple OS X 10.7 на x86-64. См. Раздел 3, СОВМЕСТИМЫЕ ПЛАТФОРМЫ, в User Guide for the OpenSSL FIPS Object Module v2.0.

---

Есть ли совместимый DRBG OpenSSL (AES-256 с ФР), выпускаемый под Mac OS X 10,11

Да, Apple имеет некоторые проверенные DRBGs. См. Сертификат Apple 1091 и CTR_DRBG по адресу NIST's DRBG Validation List. Вы также можете быть заинтересованы в NIST's Algorithm Validation Lists.

---

Я знаю, что компания Apple настоятельно рекомендует использовать CommonCrypto ...

Я думаю, что это ничего не значит. Apple выпускает CommonCrypto, конечно же, они порекомендуют это!

Что Apple не говорит вам, они молча покидают ОС, Frameworks и библиотеки. Поэтому, как только вы перевернете что-то, связанное с их библиотеками, вы будете уязвимы, потому что они не поддерживают свои исправления.

В качестве примера, Apple никогда не поддерживала их ECDHE-ECDSA bug fix in SecureTransport, поэтому в поле есть проблемы. В качестве другого примера, Apple никогда не поддерживала CVE-2014-1266 SecrueTransport's Goto Fail, так что в поле есть проблемы.В качестве еще одного примера Apple задумала 3 года, чтобы исправить Billion Laughs в своем XML-синтаксическом анализаторе. В качестве еще одного примера Apple никогда не исправляла CVE-2015-1130 (Hidden Backdoor with Root), поэтому в поле есть проблемы.

Apple также является пресловутым for releasing untested and substandard software.

Apple также сдерживает исправления и исправления, а также waits to provide them with their next latest-and-greatest OS press release.

Таким образом, я считаю, что лучший курс с точки зрения архитектуры и дизайна - это избегать Apple Framework и библиотек. Таким образом, вы можете обновить свое приложение и закрыть дыры в безопасности и ошибки независимо от того, что делает Купертино. Пользователи будут наслаждаться вашим обновленным приложением, независимо от действий Apple или отсутствия действий.

Также см. Mobile Development Architecture (Vendor Patching vs App Updates)? в списке рассылки мобильной безопасности OWASP.