4

私は、FIPS 対応システムの FISMA 要件を満たす必要がある組織で働いています。私がやろうとしていることの 1 つは、パスワードにハッシュ アルゴリズムを実装することです。これには多くの選択肢があります: SHA-2、MD5、bcrypt (Blowfish を使用)、RIPE など。

さまざまな NIST の出版物を読んで、FISMA が要件を満たすために特定のアルゴリズムを使用する必要があると述べたものは何もありません。

ただし、FIPS 180-4 は、SHA-1 から SHA-512/256 までの FISMA に従って、どのハッシュ アルゴリズムが安全であると見なされるかを指定します。NIST SP 800-132 も、PBKDS2 の使用を推奨しています。

つまり、これは次のことを意味します: a)。FISMA 監査/要件に合格するには、ハッシュ アルゴリズムに SHA を使用する必要がありますか?

...また...

b)。SHA より優れている限り、どんなアルゴリズムでも使用できますか? つまり、MD5 は使用しませんが、bcrypt または RIPE は問題ありません。

4

2 に答える 2

2

両方どうですか？bcrypt を使用してパスワードをハッシュ/ソルトし、ワーク ファクター機能を利用して、大規模な並列ブルート フォース攻撃に対する将来の保証を提供します。次に、bcrypt からの結果を SHA-512 して保存します。

bcrypt から保護され、承認されたアルゴリズムで生成されたハッシュを保存しているため、FISMA/FIPS ボックスをオンにします。

データベースに格納されているのと同じハッシュを生成する入力を誰かが SHA-512 にブルート フォースで見つけたとしても、その入力はユーザーをシステムにログインさせる有効なパスワードではありません。

于 2013-04-23T16:59:49.757 に答える
1

Yes, you have to use SHA. SP 800-53 references FIPS 140-2 all over the place, implying that you must use SHA-256 or SHA-512. (Avoid SHA-1).

It's spelled out clearly in the MEMORANDUM FOR HEADS OF EXECUTIVE DEPARTMENTS AND AGENCIES from the Executive Office of the President:

11. Is use of National Institute of Standards and Technology (NIST) publications required?

Yes. For non-national security programs and information systems, agencies must follow NIST standards and guidelines. ...

12. Are NIST guidelines flexible?

Yes. While agencies are required to follow NIST standards and guidelines in accordance with OMB policy, there is flexibility within NIST’s guidelines (specifically in the 800-series) in how agencies apply them. However, Federal Information Processing Standards (FIPS) are mandatory. ...

(And think about it. NIST didn't publish SHA as a standard so that you could go and use something else instead...)

Also, SHA and Bcrypt aren't really directly comparable. SHA is a set of hashing algorithms. Bcrypt is more of a process to produce a hash with the Blowfish algorithm at its core. The FIPS equivalent of Bcrypt is PBKDF2, which uses SHA as its core algorithm.

于 2013-01-20T08:24:51.843 に答える