Diese Anleitung erklärt, wie Sie OpenSSL mit FIPS 140-3 Unterstützung kompilieren.

FIPS 140-3 (Federal Information Processing Standard) ist ein US-amerikanischer Standard für kryptographische Module. Er definiert:

• Welche Algorithmen erlaubt sind
• Wie Schlüssel generiert werden müssen
• Selbsttests beim Start
• Tamper-Detection

Zusätzlich zu den Standard-Voraussetzungen:

• ☑ NASM ist Pflicht (nicht optional!)
• ☑ Sauberes Build-Verzeichnis

REM Pfad anpassen: Community, Professional oder Enterprise
call "%ProgramFiles%\Microsoft Visual Studio\2022\Community\VC\Auxiliary\Build\vcvars64.bat"
set PATH=%STRAWBERRY_PERL%\bin;%LOCALAPPDATA%\bin\NASM;%PATH%
cd /d %OPENSSL_SRC%

perl Configure VC-WIN64A enable-fips --prefix=D:\Projects\openssl-3.6.0\bin --openssldir=D:\Projects\openssl-3.6.0\bin\ssl

Wichtig: Der Parameter enable-fips aktiviert den FIPS-Provider.

nmake

nmake install_sw install_fips

Zusätzlich zu den Standard-Dateien:

bin\
├── bin\
│   ├── openssl.exe
│   ├── libcrypto-3-x64.dll
│   └── libssl-3-x64.dll
├── lib\
│   └── ossl-modules\
│       ├── fips.dll          # FIPS Provider Modul
│       └── legacy.dll
└── ssl\
    ├── openssl.cnf
    └── fipsmodule.cnf        # FIPS Modul-Konfiguration

Öffnen Sie D:\Projects\openssl-3.6.0\bin\ssl\openssl.cnf und fügen Sie hinzu:

# Am Anfang der Datei
openssl_conf = openssl_init
 
[openssl_init]
providers = provider_sect
alg_section = algorithm_sect
 
[provider_sect]
fips = fips_sect
base = base_sect
 
[fips_sect]
activate = 1
 
[base_sect]
activate = 1
 
[algorithm_sect]
default_properties = fips=yes

Beim ersten Start muss der FIPS-Modul-Hash berechnet werden:

cd D:\Projects\openssl-3.6.0\bin
 
bin\openssl.exe fipsinstall -out ssl\fipsmodule.cnf -module lib\ossl-modules\fips.dll

set OPENSSL_CONF=D:\Projects\openssl-3.6.0\bin\ssl\openssl.cnf
 
# Provider auflisten
openssl list -providers

Erwartete Ausgabe:

Providers:
  base
    name: OpenSSL Base Provider
    version: 3.6.0
    status: active
  fips
    name: OpenSSL FIPS Provider
    version: 3.6.0
    status: active

Im FIPS-Modus sind nur bestimmte Algorithmen erlaubt:

# Erlaubte Hash-Algorithmen
openssl list -digest-algorithms
 
# Sollte zeigen: SHA256, SHA384, SHA512, SHA3-*
# NICHT: MD5, SHA1 (im FIPS-Modus deaktiviert)

# Erlaubte Signatur-Algorithmen
openssl list -signature-algorithms
 
# Sollte zeigen: RSA-PSS, ECDSA, ML-DSA

Nicht-FIPS-Algorithmen im FIPS-Modus:

• FIPS-Modus validieren
• 4. Testen
• Zurück zur Build-Übersicht

Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional