نام (NAME)

fips_config - پیکربندی FIPS در OpenSSL

توضیحات (DESCRIPTION)

یک فایل پیکربندی جداگانه با استفاده از نحو config(5) در OpenSSL، برای نگهداری اطلاعات مربوط به ماژول FIPS استفاده می‌شود. این اطلاعات شامل خلاصه (digest) فایل کتابخانه مشترک و وضعیت خودآزمایی‌ها است. این داده‌ها به طور خودکار توسط خود ماژول برای دو هدف به کار می‌روند:

- اجرای آزمون‌های پاسخ مشخص (KATs) خودآزمایی هنگام راه‌اندازی FIPS.: این کار معمولاً یک بار در زمان نصب انجام می‌شود، اما می‌تواند طوری تنظیم شود که با هر بار استفاده از ماژول نیز اجرا گردد.
- تأیید جمع‌کنترلی (checksum) ماژول.: این کار هر بار که ماژول استفاده می‌شود انجام می‌گیرد.

این فایل توسط برنامه openssl-fipsinstall(1) تولید می‌شود و به صورت داخلی توسط ماژول FIPS در طول مقداردهی اولیه آن مورد استفاده قرار می‌گیرد.

گزینه‌های زیر پشتیبانی می‌شوند. همه آن‌ها باید در بخشی ظاهر شوند که نام آن توسط گزینه fips در بخش providers مشخص شده است، همان‌طور که در «Provider Configuration Module» در config(5) شرح داده شده است.

activate: اگر وجود داشته باشد، ماژول فعال می‌شود. مقدار اختصاص‌یافته به این نام اهمیتی ندارد.
conditional-errors: ماژول FIPS در صورت شکست هر یک از خودآزمایی‌ها معمولاً وارد یک حالت خطای داخلی می‌شود. پس از فعال شدن این حالت خطا، از این نقطه به بعد هیچ سرویس یا الگوریتم رمزنگاری قابل دسترسی نخواهد بود. آزمون‌های پیوسته زیرمجموعه‌ای از خودآزمایی‌ها هستند (برای مثال، آزمون جفت کلید در طول تولید کلید، یا آزمون خروجی CRNG). تنظیم این مقدار روی 0 اجازه می‌دهد در صورت شکست هر آزمون پیوسته، حالت خطا برانگیخته نشود. مقدار پیش‌فرض 1 حالت خطا را برمی‌انگیزد. صرف‌نظر از مقدار، عملیاتی (مانند تولید کلید) که آزمون پیوسته را فراخوانی کرده است در صورت شکست آزمون پیوسته خود یک کد خطا برمی‌گرداند. سپس در صورتی که حالت خطا برانگیخته نشده باشد، می‌توان عملیات را مجدداً تکرار کرد.
module-mac: مقدار MAC محاسبه‌شده برای فایل ارائه‌دهنده (provider) FIPS.
install-version: شماره نسخه برای فرآیند نصب FIPS. باید ۱ باشد.
install-status: این فیلد منسوخ شده است و دیگر استفاده نمی‌شود.
install-mac: این فیلد منسوخ شده است و دیگر استفاده نمی‌شود.

گزینه‌های نشانگر FIPS (FIPS indicator options)

گزینه‌های پیکربندی FIPS زیر مشخص می‌کنند که آیا بررسی‌های زمان اجرا مربوط به اعمال پارامترهای امنیتی FIPS مانند حداقل استحکام امنیتی کلیدها و نام‌های منحنی مجاز استفاده می‌شوند یا خیر. مقدار '1' بررسی‌ها را انجام می‌دهد، در غیر این صورت اگر مقدار '0' باشد، بررسی‌ها انجام نمی‌شوند و انطباق با FIPS باید از طریق رویه‌های مستندشده در خط‌مشی امنیتی (Security Policy) مربوطه صورت گیرد.

برای اطلاعات بیشتر در مورد این گزینه‌ها، به بخش «OPTIONS» در openssl-fipsinstall(1) مراجعه کنید.

security-checks: به «OPTIONS» در openssl-fipsinstall(1) گزینه -no_security_checks مراجعه کنید.
tls1-prf-ems-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -ems_check مراجعه کنید.
no-short-mac: به «OPTIONS» در openssl-fipsinstall(1) گزینه -no_short_mac مراجعه کنید.
drbg-no-trunc-md: به «OPTIONS» در openssl-fipsinstall(1) گزینه -no_drbg_truncated_digests مراجعه کنید.
signature-digest-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -signature_digest_check مراجعه کنید.
hkdf-digest-check: این گزینه منسوخ شده است.
tls13-kdf-digest-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -tls13_kdf_digest_check مراجعه کنید.
tls1-prf-digest-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -tls1_prf_digest_check مراجعه کنید.
sshkdf-digest-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -sshkdf_digest_check مراجعه کنید.
sskdf-digest-check: این گزینه منسوخ شده است.
x963kdf-digest-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -x963kdf_digest_check مراجعه کنید.
dsa-sign-disabled: به «OPTIONS» در openssl-fipsinstall(1) گزینه -dsa_sign_disabled مراجعه کنید.
tdes-encrypt-disabled: به «OPTIONS» در openssl-fipsinstall(1) گزینه -tdes_encrypt_disabled مراجعه کنید.
rsa-pkcs15-pad-disabled: به «OPTIONS» در openssl-fipsinstall(1) گزینه -rsa_pkcs15_pad_disabled مراجعه کنید.
rsa-pss-saltlen-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -rsa_pss_saltlen_check مراجعه کنید.
rsa-sign-x931-pad-disabled: به «OPTIONS» در openssl-fipsinstall(1) گزینه -rsa_sign_x931_disabled مراجعه کنید.
hkdf-key-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -hkdf_key_check مراجعه کنید.
kbkdf-key-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -kbkdf_key_check مراجعه کنید.
tls13-kdf-key-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -tls13_kdf_key_check مراجعه کنید.
tls1-prf-key-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -tls1_prf_key_check مراجعه کنید.
sshkdf-key-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -sshkdf_key_check مراجعه کنید.
sskdf-key-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -sskdf_key_check مراجعه کنید.
x963kdf-key-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -x963kdf_key_check مراجعه کنید.
x942kdf-key-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -x942kdf_key_check مراجعه کنید.
pbkdf2-lower-bound-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -no_pbkdf2_lower_bound_check مراجعه کنید.
ecdh-cofactor-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -ecdh_cofactor_check مراجعه کنید.
hmac-key-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -hmac_key_check مراجعه کنید.
kmac-key-check: به «OPTIONS» در openssl-fipsinstall(1) گزینه -kmac_key_check مراجعه کنید.

برای مثال:

[fips_sect]
activate = 1
install-version = 1
conditional-errors = 1
security-checks = 1
module-mac = 41:D0:FA:C2:5D:41:75:CD:7D:C3:90:55:6F:A4:DC
install-mac = FE:10:13:5A:D3:B4:C7:82:1B:1E:17:4C:AC:84:0C
install-status = INSTALL_SELF_TEST_KATS_RUN

نکات (NOTES)

هنگام استفاده از ارائه‌دهنده FIPS، توصیه می‌شود گزینه config_diagnostics فعال باشد تا از استفاده تصادفی از الگوریتم‌های تأییدنشده توسط FIPS به دلیل پیکربندی ناقص یا اشتباه جلوگیری شود. به config(5) مراجعه کنید.

همچنین ببینید (SEE ALSO)

config(5) openssl-fipsinstall(1)

تاریخچه (HISTORY)

این قابلیت در OpenSSL 3.0 اضافه شد.

حق نشر (COPYRIGHT)

حق نشر ۲۰۱۹-۲۰۲۵ نویسندگان پروژه OpenSSL. کلیه حقوق محفوظ است.

تحت مجوز آپاچی نسخه ۲.۰ (Apache License 2.0) منتشر شده است. شما نمی‌توانید از این فایل استفاده کنید مگر با رعایت مجوز. می‌توانید یک نسخه از مجوز را در فایل LICENSE در توزیع منبع یا در https://www.openssl.org/source/license.html دریافت کنید.