符合FIPS 140标准的应用程序是什么意思？

Question

是否与使用符合FIPS 140的加密提供程序一样简单，还是更多？如果它是一个网络应用程序与Windows应用程序有区别吗？如果它是一个分布式应用程序呢？对IIS，WCF，ASP.Net，Silverlight，AJAX等有没有特别的考虑？

谢谢

Answer 1

FIPS是美国政府关于信息安全的一系列标准。有政策，做法等。为了符合要求符合您必须确保您只使用某些算法，您使用的硬件和软件必须被视为符合要求等。

是否与使用FIPS 140 兼容加密提供商还是 更多吗？

这取决于每个具体的情况，但是它可以。例如，如果您使用的某些路由器符合140-2标准，那么您的应用程序可以免除部分过程，因为您使用的硬件可以完成认证所需的相同任务。例如，我们使用F5 Big IP来处理很多SSL等，因为他们已经通过了认证过程。我们的其他系统也许能够做同样的事情，但这意味着我们不必经过审批过程，这是漫长而痛苦的。

http://en.wikipedia.org/wiki/FIPS_140

我觉得这些都是说说认证链接：

http://csrc.nist.gov/groups/STM/index.html

http://csrc.nist.gov/groups/STM/cmvp/index.html

Answer 2

这是加密安全系统的政府标准。它定义了系统必须遵守的惯例，策略，测试以及某些情况下要考虑符合的硬件。你可以在http://en.wikipedia.org/wiki/FIPS_140阅读更多关于它。

http://csrc.nist.gov/publications/PubsFIPS.html是一般FIPS规格和要求的良好资源。