OpenSSL 1.0 nun auch FIPS-zertifiziert
Die weit verbreitete Open-Source-Krypto-Bibliothek OpenSSL hat jetzt eine Zertifierung nach FIPS 140-2 erhalten. Sie ist allerdings mit einigen Haken versehen und nur mit Vorsicht zu genießen.
Eine FIPS-140-2-Zertifizierung ist bei vielen Projekten die erforderliche Eintrittskarte: Ohne die von der US-Regierung festgelegten "Sicherheitsanforderungen für kryptographische Module" zu erfüllen, geht gerade bei Regierungsaufträgen häufig gar nichts. Jetzt hat das dafür zuständige National Institute of Standards and Technology (NIST) die Version 1.0 der weit verbreiteten Krypto-Bibliothek OpenSSL dieses Siegel zuerkannt – irgendwie zumindest.
Denn die Zertifizierung bezieht sich keineswegs auf OpenSSL selbst, sondern auf das sogenannte OpenSSL FIPS Object Module, das nur ein spezielles Subset der OpenSSL-Funktionen bereitstellt. Unter anderem deaktiviert es einige verbreitete, aber nicht FIPS-konforme Algorithmen wie Blowfish, CAST, IDEA und RC4/5. Allerdings soll es vergleichsweise einfach sein, Software, die bereits OpenSSL nutzt, auf die FIPS-konformen Bibliotheken umzustellen.
Die Zertifizierung von OpenSSL ist etwas besonderes, weil solche Prüfsiegel sich für gewöhnlich auf fertige, ausführbare Programmpakete beziehen, hier das NIST aber Quellcode zertifiziert hat. Allerdings gilt die Zertifizierung nur dann, wenn aus dem validierten, unveränderten Quellcode in einem genau dokumentierten Verfahren ausführbarer Code erzeugt wird. Problematisch wird es dann, wenn in dem zertifizierten Code Sicherheitslücken bekannt werden. Denn selbst wenn dann ein Patch des Herstellers existiert, der die Lücke beseitigt, verlöre man unter Umständen die Zertifizierung, wenn man den einspielt. Ein solcher Fall ist bereits bei einer früheren Version der OpenSSL FIPS Object Module aufgetreten. (ju)
