Podle zprávy na gcn.com došlo k přehodnocení bezpečnostních vlastností modulu OpenSSL. V lednu 2006 udělený certifikát (NIST – Computer Module Validation Program for FIPS-140–2) byl NISTem zrušen.
V článku se říká, že spornými byly interakce modulu s vnějším softwarem. Podle některých dalších informací byly zdrojem pochyb „konkurenční” iniciativy firem, které dodávají na trh obdobné (již však uzavřené) moduly. Těmto útokům napomohl také otevřený charakter OpenSSL.
Tato zprávička byla zaslána čtenářem serveru Root.cz pomocí formuláře Přidat zprávičku. Děkujeme!
"It is disheartening after three-and-a-half years of work to have the certification pulled twice for reasons not clear to us." ... Weathersby said problems had been corrected in the module and the workaround submitted to the certifying laboratory, Domus IT Security Laboratory of Ottawa, for re-evaluation. He had been expecting CMVP to evaluate the lab results and reinstate the certificate when the notice of revocation was published on the Web site. NIST is not saying why the certificate was removed.
Tipnem si ze to najskor bolo tak, ze niektore firmy chceli (vlada?) odstranit konkurenta (OpenSSL) z trhu, tak sa snazili tam najst nejaku zamienku v kode, comu by odpovedalo aj cele to tajnostkarstvo zo strany NIST.
Existuje napr. open-source Crypto++ kniznica, ktora ma FIPS-140-2 level 1 certifikaciu, ale ta asi (zatial) nikomu nekonkuruje.
BTW, FIPS certifikacia sa da udelit len na prelozeny kod, takze tam mohli vymysliet nejake cachre a zatiahnut do toho prekladac/linker/loader zdielanych kniznic, atd.
ČLÁNKY DO MAILU