你可能已经看到阿鲁巴最近新闻稿陈述我们是第一个有验证的FIPS验证和共同标准的供应商802.11ac设备。如果您在美国或加拿大联邦政府工作，您可能已经知道这意味着什么 - 这意味着您现在可以访问今天最快的Wi-Fi技术。如果您不为政府工作，则此博客文章将解释为什么我们的公告与您相关。
首先，让我们来谈谈FIPS(顺便说一下，FIPS代表联邦信息处理标准，以防你在玩《黑客危机》时被问到这个问题。)使用根据FIPS 140-2验证的产品意味着可以确保加密实现能够正确地操作，并为给定的应用程序提供正确和适当的安全性。作为Wi-Fi和远程访问供应商，加密技术对我们和我们的客户都非常重要，这就是为什么我们从2004年开始就不断投资FIPS 140-2验证。
FIPS 140-2有两个主要部分。首先，算法。加密算法验证程序（CAVP）由NIST管理，并测试加密算法实施的正确性 - 这意味着实施使其在所有情况下应该做的事情。为了测试正确性，经过认证的实验室将生成测试向量 - 将它们视为您需要通过加密或解密例程运行的一系列数据。该矢量专门设计用于测试开发人员可能普遍犯错误的边缘情况。这些测试实际上工作 - 过去，我们在我们无法获得测试向量时发现我们的实施中的错误。大多数时间这些错误都是软件，因此更容易修复，但我们发现至少有一个硬件加密错误，我们必须使用软件建立一个小型解决方法。因此，FIPS测试是在标准质量保证测试之上的额外保证，适用于关键安全组件。
FIPS的另一部分是模块本身。在-Sy猜测的IT - 加密模块验证程序（CMVP）下执行模块的验证。模块是非正式定义的（至少由我）为“提供加密服务的东西”。在我们的情况下，模块可以是移动控制器，AP或软件库。模块在不同的级别验证，从1级（仅软件）到级别2（包括某些物理保护的硬件）一直到4级，这也可能是一种不可采用的堡垒。供应商决定他们在其模块周围绘制边界，因此您将在那里看到不同种类的实现。经过验证的模块必须满足某些要求，其中最大的内容不使用不批准FIPS的加密算法。例如，您可以看到很多使用RC4算法执行HTTPS。不会发生在FIPS环境中 - AES和3DES是您对对称加密的真正选择。同样，FIPS已经逐步淘汰了MD5等较弱的算法，最近的SHA1 - 这有助于推送供应商以支持更好和更强大的标准。 Modules must also have very well-defined failure modes, self tests, and source code reviewed by an accredited lab.
FIPS 140-2是安全性的灵丹妙药吗?不。首先，最近的OpenSSL Heartbleed漏洞影响了许多fips验证模块，包括我们自己的模块。为什么在FIPS实验室进行广泛的源代码审查时没有发现这个bug ?因为同样的原因，开源社区在这么长时间内都没有找到它。FIPS并不完美，但在安全方面，我们尽量不让完美阻碍事情变得更好。其次，FIPS只涵盖了密码学—还有许多其他的安全功能没有在FIPS下进行评估。这就是共同标准的作用所在，这将是我的主题下一个帖子。
