====== 4.3 FIPS-Modus validieren ======

Diese Seite zeigt, wie Sie den FIPS-Modus Ihrer OpenSSL-Installation validieren.

----

===== FIPS-Provider prüfen =====

<code powershell>
$openssl = "D:\Projects\openssl-3.6.0\bin\bin\openssl.exe"

# Environment setzen
$env:OPENSSL_CONF = "D:\Projects\openssl-3.6.0\bin\ssl\openssl.cnf"

# Provider auflisten
& $openssl list -providers
</code>

**Mit FIPS aktiv:**
<code>
Providers:
  base
    name: OpenSSL Base Provider
    version: 3.6.0
    status: active
  fips
    name: OpenSSL FIPS Provider
    version: 3.6.0
    status: active
</code>

**Ohne FIPS:**
<code>
Providers:
  default
    name: OpenSSL Default Provider
    version: 3.6.0
    status: active
</code>

----

===== FIPS-Algorithmen verifizieren =====

Im FIPS-Modus sind nur zertifizierte Algorithmen verfügbar.

==== Erlaubte Hash-Algorithmen ====

<code powershell>
& $openssl list -digest-algorithms
</code>

**FIPS-erlaubt:**
  * SHA-256, SHA-384, SHA-512
  * SHA3-256, SHA3-384, SHA3-512
  * SHAKE128, SHAKE256

**Nicht FIPS-erlaubt:**
  * ~~MD5~~
  * ~~SHA1~~ (nur für Kompatibilität)
  * ~~MD4~~

==== Erlaubte Signatur-Algorithmen ====

<code powershell>
& $openssl list -signature-algorithms
</code>

**FIPS-erlaubt:**
  * RSA (≥2048 bit)
  * ECDSA (P-256, P-384, P-521)
  * ML-DSA-44, ML-DSA-65, ML-DSA-87

----

===== FIPS-Self-Tests =====

Der FIPS-Provider führt beim Laden Selbsttests durch:

<code powershell>
# Verbose-Modus für Selbsttest-Output
$env:OPENSSL_FIPS_TEST = "1"
& $openssl list -providers
</code>

<WRAP info>
Bei fehlgeschlagenen Selbsttests wird der FIPS-Provider nicht aktiviert!
</WRAP>

----

===== FIPS-Modul-Integrität prüfen =====

Die FIPS-Module haben einen eingebetteten Hash zur Integritätsprüfung:

<code powershell>
# FIPS-Modul Hash generieren/prüfen
& $openssl fipsinstall -verify -module "D:\Projects\openssl-3.6.0\bin\lib\ossl-modules\fips.dll" -in "D:\Projects\openssl-3.6.0\bin\ssl\fipsmodule.cnf"
</code>

Erwartete Ausgabe:
<code>
VERIFY PASSED
</code>

Bei Fehler:
<code>
VERIFY FAILED
</code>

<WRAP important>
Wenn VERIFY FAILED: Die DLL wurde möglicherweise modifiziert. Neu bauen!
</WRAP>

----

===== Test: Nicht-FIPS-Algorithmus blockiert =====

Im FIPS-Modus sollte MD5 blockiert sein:

<code powershell>
# MD5 sollte fehlschlagen
& $openssl dgst -md5 test.txt 2>&1
</code>

Erwartete Ausgabe (mit FIPS):
<code>
Error setting digest
xxxx:error:0308010C:digital envelope routines:inner_evp_generic_fetch:unsupported
</code>

<WRAP tip>
Wenn MD5 funktioniert, ist FIPS nicht aktiv!
</WRAP>

----

===== FIPS-Properties in Code prüfen =====

In C oder .NET können Sie FIPS programmatisch prüfen:

<code csharp>
// C# P/Invoke Beispiel
[DllImport("libcrypto-3-x64.dll")]
private static extern int OSSL_PROVIDER_available(IntPtr libctx, string name);

public static bool IsFipsAvailable()
{
    return OSSL_PROVIDER_available(IntPtr.Zero, "fips") == 1;
}
</code>

----

===== Checkliste für FIPS-Compliance =====

| # | Prüfpunkt | Status |
|---|-----------|--------|
| 1 | ''enable-fips'' beim Build verwendet | ☐ |
| 2 | ''fips.dll'' in ''ossl-modules/'' vorhanden | ☐ |
| 3 | ''fipsmodule.cnf'' generiert | ☐ |
| 4 | ''openssl.cnf'' FIPS-Provider aktiviert | ☐ |
| 5 | ''openssl list -providers'' zeigt FIPS aktiv | ☐ |
| 6 | ''fipsinstall -verify'' PASSED | ☐ |
| 7 | MD5 blockiert (Test) | ☐ |

----

===== Probleme beheben =====

==== "FIPS provider not available" ====

  - Wurde mit ''enable-fips'' gebaut?
  - Ist ''fips.dll'' vorhanden?
  - Ist ''openssl.cnf'' korrekt konfiguriert?

==== "Self test failed" ====

  - Module neu installieren: ''nmake install_fips''
  - Hash neu generieren: ''openssl fipsinstall ...''

==== MD5 funktioniert (sollte blockiert sein) ====

  - ''default_properties = fips=yes'' in openssl.cnf fehlt
  - ''OPENSSL_CONF'' Environment nicht gesetzt

----

===== Weiter zu =====

  * [[.:build:windows-fips|FIPS Build]]
  * [[.:integration:start|5. Integration]]

----
//Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional//