如何檢查CNG Windows API是否返回符合FIPS的算法實現

Question

我在啟用了FIPS模式的主機上調用Windows CNG API（bcrypt.dll）。 通過功能BCryptGetFipsAlgorithmMode可以確認啟用了FIPS的事實。

如何確保API返回的算法實現符合FIPS？

看起來，僅在主機上啟用FIPS模式並不能保證API能夠防止非FIPS兼容算法實例化，因為我可以成功獲取MD5哈希算法（已知不兼容FIPS）。

Answer 1

KB 811833說

此策略僅對應用程序提供建議。 因此，如果啟用該策略，則不能確保所有應用程序都符合要求。 此設置將影響操作系統中的以下區域：

然后繼續列出受政策影響的事物。 這包括SChannel和.NET，但不包括CNG API本身。 這篇博客文章確認了.NET的行為，但是可以在應用程序配置文件中用enforceFIPSPolicy覆蓋它。

調用BCryptOpenAlgorithmProvider ，可以通過指定MS_PRIMITIVE_PROVIDER來強制提供程序。