"配備 FIPS BoringSSL 的三星設備上的 Android 應用程序 FIPS 合規性"

Question

三星設備配備了聲明通過 FIPS 140-2 驗證的 BoringSSL 模塊（請參閱https://csrc.nist.gov/projects/cryptographic-module-validation-program/certificate/3900 ）。 我們能否暗示在此設備上運行並使用 Android Jetpack Security 調用加密 API 的應用程序也符合 FIPS 標准？ 似乎Android Jetpack安全使用Tink，Tink最終是從Android系統調用安全提供程序來完成真正的工作，默認情況下是Conscrypt的OpenSSLProvider。 Conscrypt 依賴於 BoringSSL 進行真正的加密和解密。

Answer 1

您提供的鏈接中有一個關鍵詞，那就是

在 FIPS 模式下運行時。

事實上，三星設備使用 BoringSSL 模塊，並且 BoringSSL 在某些時候已經過 FIPS 驗證，這並不能告訴您最近三星設備上與 Android 捆綁的特定版本和構建的 BoringSSL 實際上是否已經編譯並在運行時初始化在“FIPS 模式”中。

如果您無法找到明確的官方確認，這對於您正在查看的設備和操作系統版本是正確的，您唯一的做法是編譯 SSL 庫的自定義版本並將其與您的應用程序捆綁在一起，遵循所需的官方供應商指南生成經過 FIPS 驗證的庫版本。