Windows har en skjult innstilling som bare aktiverer statlig sertifisert "FIPS-kompatibel" kryptering . Det kan høres ut som en måte å øke PC-ens sikkerhet, men det er det ikke. Du bør ikke aktivere denne innstillingen med mindre du jobber i myndighetene eller trenger å teste hvordan programvaren vil oppføre seg på offentlige PC-er.
Denne justeringen passer rett sammen med andre unyttig Windows tweaking myter . Hvis du har snublet over denne innstillingen i Windows eller sett den nevnt andre steder, må du ikke aktivere den. Hvis du allerede har aktivert det uten god grunn, kan du bruke trinnene nedenfor for å deaktivere “FIPS-modus”.
Hva er FIPS-kompatibel kryptering?
I SLEKT: 10 Windows Tweaking Myts Debunked
FIPS står for "Federal Information Processing Standards." Det er et sett med myndighetsstandarder som definerer hvordan visse ting brukes i myndighetene - for eksempel krypteringsalgoritmer. FIPS definerer visse spesifikke krypteringsmetoder som kan brukes, samt metoder for å generere krypteringsnøkler. Den er utgitt av National Institute of Standards and Technology, eller NIST.
Innstillingen i Windows er i samsvar med den amerikanske regjeringen FIPS 140. Når den er aktivert, tvinger den Windows til å bare bruke FIPS-validerte krypteringsordninger og råder applikasjoner til å gjøre det også.
"FIPS-modus" gjør ikke Windows sikrere. Det blokkerer bare tilgang til nyere kryptografiske ordninger som ikke er FIPS-validert. Det betyr at den ikke kan bruke nye krypteringsordninger eller raskere måter å bruke de samme krypteringsskjemaene på. Med andre ord gjør det datamaskinen tregere, mindre funksjonell og uten tvil mindre sikre.
Hvordan Windows oppfører seg annerledes hvis du aktiverer denne innstillingen
Microsoft forklarer hva denne innstillingen faktisk gjør i et blogginnlegg med tittelen “ Hvorfor anbefaler vi ikke "FIPS-modus" lenger . ” Microsoft anbefaler bare at du bruker FIPS-modus hvis du må. For eksempel, hvis du bruker en amerikansk regjeringscomputer, skal datamaskinen ha "FIPS-modus" aktivert i henhold til myndighetens egne regler. Det er ingen reelle tilfeller der du vil aktivere dette på din egen personlige datamaskin - med mindre du testet hvordan programvaren din oppfører seg på amerikanske myndigheters datamaskiner med denne innstillingen aktivert.
Denne innstillingen gjør to ting mot selve Windows. Det tvinger Windows og Windows-tjenester til å bare bruke FIPS-validert kryptografi. For eksempel fungerer Schannel-tjenesten som er innebygd i Windows ikke med eldre SSL 2.0- og 3.0-protokoller, og vil kreve minst TLS 1.0 i stedet.
Microsofts .NET-rammeverk vil også blokkere tilgang til algoritmer som ikke er FIPS-validert. .NET-rammeverket tilbyr flere forskjellige algoritmer for de fleste kryptografi-algoritmer, og ikke alle har til og med blitt sendt inn for validering. Som et eksempel bemerker Microsoft at det er tre forskjellige versjoner av SHA256-hashingalgoritmen i .NET-rammeverket. Den raskeste er ikke sendt inn for validering, men skal være like sikker. Så å aktivere FIPS-modus vil enten bryte .NET-applikasjoner som bruker den mer effektive algoritmen eller tvinge dem til å bruke den mindre effektive algoritmen og være tregere.
Bortsett fra disse to tingene, kan aktivering av FIPS-modus anbefale applikasjoner at de også bare bruker FIPS-validert kryptering. Men det tvinger ikke noe annet. Tradisjonelle Windows-skrivebordsprogrammer kan velge å implementere hvilken som helst krypteringskode de vil ha - til og med fryktelig sårbar kryptering - eller ingen kryptering i det hele tatt. FIPS-modus gjør ikke noe med andre applikasjoner med mindre de følger denne innstillingen.
Slik deaktiverer du FIPS-modus (eller aktiverer det hvis du må)
Du bør ikke aktivere denne innstillingen med mindre du bruker en offentlig datamaskin og er tvunget til å gjøre det. Hvis du aktiverer denne innstillingen, kan noen forbrukerapplikasjoner faktisk be deg om å deaktivere FIPS-modus, slik at de kan fungere skikkelig.
Hvis du trenger å aktivere eller deaktivere FIPS-modus - kanskje du har sett en feilmelding etter at du har aktivert den, må du teste hvordan programvaren din vil oppføre seg på en datamaskin med FIPS-modus aktivert, eller om du bruker en statlig datamaskin og har for å aktivere det - du kan gjøre det på flere måter. FIPS-modus kan bare aktiveres når den er koblet til et bestemt nettverk, eller via en systemomfattende innstilling som alltid vil gjelde.
For å aktivere FIPS-modus bare når den er koblet til et bestemt nettverk, gjør du følgende:
- Åpne Kontrollpanel-vinduet.
- Klikk på "Vis nettverksstatus og oppgaver" under Nettverk og Internett.
- Klikk på "Endre adapterinnstillinger."
- Høyreklikk på nettverket du vil aktivere FIPS for, og velg "Status".
- Klikk på "Trådløse egenskaper" -knappen i Wi-Fi-statusvinduet.
- Klikk på "Sikkerhet" -fanen i nettverksegenskapsvinduet.
- Klikk på “Avanserte innstillinger” -knappen.
- Veksle alternativet "Aktiver Federal Information Processing Standards (FIPS) compliance for dette nettverket" under 802.11-innstillinger.
Denne innstillingen kan også endres hele systemet i redigeringsprogrammet for gruppepolicy. Dette verktøyet er bare tilgjengelig i Professional-, Enterprise- og Education-versjoner av Windows – ikke Home-versjoner. Du kan bare bruke lokal gruppepolitisk redaktør for å endre dette verktøyet hvis du er på en datamaskin som ikke er koblet til et domene som administrerer datamaskinens gruppepolicyinnstillinger for deg. Hvis datamaskinen din er koblet til et domene og gruppepolicyinnstillingene administreres sentralt av organisasjonen din, vil du ikke kunne endre det selv. Slik endrer du denne innstillingen i gruppepolicy:
- Trykk på Windows-tasten + R for å åpne Kjør-dialogboksen.
- Skriv "gpedit.msc" i dialogboksen Kjør (uten anførselstegn) og trykk Enter.
- Naviger til “Computer Configuration \ Windows Settings \ Security Settings \ Local Policies \ Security Options” i gruppepolicyeditoren.
- Finn innstillingen "Systemkryptografi: Bruk FIPS-kompatible algoritmer for kryptering, hashing og signering" i høyre rute og dobbeltklikk på den.
- Sett innstillingen til "Deaktivert" og klikk "OK".
- Start datamaskinen på nytt.
På hjemmeversjoner av Windows kan du fortsatt aktivere eller deaktivere FIPS-innstillingen via en registerinnstilling. For å sjekke om FIPS er aktivert eller deaktivert i registeret , følg følgende trinn:
- Trykk på Windows-tasten + R for å åpne Kjør-dialogboksen.
- Skriv "regedit" i dialogboksen Kjør (uten anførselstegn) og trykk Enter.
- Naviger til “HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ Lsa \ FipsAlgorithmPolicy \”.
- Se på "Aktivert" -verdien i høyre rute. Hvis den er satt til "0", er FIPS-modus deaktivert. Hvis den er satt til "1", er FIPS-modus aktivert. For å endre innstillingen, dobbeltklikk på "Enabled" -verdien og sett den til enten "0" eller "1".
- Start datamaskinen på nytt.
Takk til @SwiftOnSecurity på Twitter for å inspirere dette innlegget!
