Windows har en dold inställning som endast möjliggör statligt certifierad "FIPS-kompatibel" kryptering . Det kan låta som ett sätt att öka datorns säkerhet, men det är det inte. Du bör inte aktivera den här inställningen om du inte arbetar i regeringen eller behöver testa hur programvaran beter sig på statliga datorer.
Denna tweak passar precis bredvid andra värdelösa Windows tweaking myter . Om du har snubblat över den här inställningen i Windows eller sett den nämns någon annanstans, aktivera den inte. Om du redan har aktiverat det utan goda skäl, använd stegen nedan för att inaktivera “FIPS-läge”.
Vad är FIPS-kompatibel kryptering?
RELATERAD: 10 Windows Tweaking Myths Debunked
FIPS står för "Federal Information Processing Standards." Det är en uppsättning statliga standarder som definierar hur vissa saker används i regeringen - till exempel krypteringsalgoritmer. FIPS definierar vissa specifika krypteringsmetoder som kan användas, liksom metoder för att generera krypteringsnycklar. Den publiceras av National Institute of Standards and Technology, eller NIST.
Inställningen i Windows överensstämmer med den amerikanska regeringen FIPS 140-standarden. När det är aktiverat tvingar det Windows att bara använda FIPS-validerade krypteringsscheman och råder applikationer att göra det också.
"FIPS-läge" gör Windows inte säkrare. Det blockerar bara åtkomst till nyare kryptografischeman som inte har FIPS-validerats. Det betyder att det inte kommer att kunna använda nya krypteringsscheman eller snabbare sätt att använda samma krypteringsscheman. Med andra ord gör det din dator långsammare, mindre funktionell och utan tvekan mindre säkra.
Hur Windows beter sig annorlunda om du aktiverar den här inställningen
Microsoft förklarar vad denna inställning faktiskt gör i ett blogginlägg med titeln “ Varför rekommenderar vi inte "FIPS-läge" längre . ” Microsoft rekommenderar bara att du använder FIPS-läge om du måste. Till exempel, om du använder en amerikansk regeringsdator, ska den datorn ha "FIPS-läge" aktiverat enligt regeringens egna regler. Det finns inget riktigt fall där du vill aktivera detta på din egen persondator - om du inte testade hur din programvara beter sig på amerikanska datorer med den här inställningen aktiverad.
Denna inställning gör två saker mot Windows själv. Det tvingar Windows- och Windows-tjänster att endast använda FIPS-validerad kryptografi. Schannel-tjänsten som är inbyggd i Windows fungerar till exempel inte med äldre SSL 2.0- och 3.0-protokoll och kräver minst TLS 1.0 istället.
Microsofts .NET-ramverk blockerar också åtkomst till algoritmer som inte är FIPS-validerade. .NET-ramverket erbjuder flera olika algoritmer för de flesta kryptografialgoritmer, och inte alla har ens skickats in för validering. Som ett exempel konstaterar Microsoft att det finns tre olika versioner av SHA256-hashingalgoritmen i .NET-ramverket. Den snabbaste har inte skickats in för validering, men den ska vara lika säker. Så att aktivera FIPS-läge kommer antingen att bryta .NET-applikationer som använder den mer effektiva algoritmen eller tvinga dem att använda den mindre effektiva algoritmen och vara långsammare.
Bortsett från dessa två saker, rekommenderar vi att applikationer aktiverar FIPS-läge att de endast använder FIPS-validerad kryptering. Men det tvingar inte något annat. Traditionella Windows-stationära applikationer kan välja att implementera vilken krypteringskod de vill ha - till och med fruktansvärt sårbar kryptering - eller ingen kryptering alls. FIPS-läge gör ingenting mot andra applikationer om de inte följer denna inställning.
Så här inaktiverar du FIPS-läge (eller aktiverar det om du måste)
Du bör inte aktivera den här inställningen om du inte använder en statlig dator och tvingas göra det. Om du aktiverar den här inställningen kan vissa konsumentapplikationer faktiskt be dig att inaktivera FIPS-läge så att de kan fungera korrekt.
Om du behöver aktivera eller inaktivera FIPS-läge - kanske du har sett ett felmeddelande efter att du aktiverat det, måste du testa hur din programvara kommer att fungera på en dator med FIPS-läge aktiverat, eller om du använder en statlig dator och har för att aktivera det - du kan göra det på flera sätt. FIPS-läge kan endast aktiveras när det är anslutet till ett visst nätverk eller via en systemomfattande inställning som alltid kommer att gälla.
För att endast aktivera FIPS-läge när du är ansluten till ett visst nätverk:
- Öppna fönstret Kontrollpanelen.
- Klicka på "Visa nätverksstatus och uppgifter" under Nätverk och Internet.
- Klicka på "Ändra adapterinställningar."
- Högerklicka på det nätverk du vill aktivera FIPS för och välj "Status".
- Klicka på knappen "Trådlösa egenskaper" i Wi-Fi-statusfönstret.
- Klicka på fliken "Säkerhet" i fönstret för nätverksegenskaper.
- Klicka på knappen "Avancerade inställningar".
- Växla alternativet "Aktivera Federal Information Processing Standards (FIPS) compliance för detta nätverk" under 802.11-inställningar.
Denna inställning kan också ändras hela systemet i grupppolicyredigeraren. Detta verktyg är endast tillgängligt i Professional-, Enterprise- och Education-versioner av Windows – inte Home-versioner. Du kan bara använda lokal grupppolicyredaktör för att ändra det här verktyget om du är på en dator som inte är ansluten till en domän som hanterar datorns grupprincipinställningar åt dig. Om din dator är ansluten till en domän och grupprincipinställningarna hanteras centralt av din organisation kan du inte ändra den själv. För att ändra denna inställning i grupprincip:
- Tryck på Windows-tangenten + R för att öppna dialogrutan Kör.
- Skriv “gpedit.msc” i dialogrutan Kör (utan citat) och tryck på Enter.
- Navigera till “Computer Configuration \ Windows Settings \ Security Settings \ Local Policies \ Security Options” i grupprincipredigeraren.
- Leta reda på inställningen "Systemkryptografi: Använd FIPS-kompatibla algoritmer för kryptering, hashing och signering" i den högra rutan och dubbelklicka på den.
- Ställ in inställningen på "Inaktiverad" och klicka på "OK".
- Starta om datorn.
På hemversioner av Windows kan du fortfarande aktivera eller inaktivera FIPS-inställningen via en registerinställning. För att kontrollera om FIPS är aktiverat eller inaktiverat i registret , följ följande steg:
- Tryck på Windows-tangenten + R för att öppna dialogrutan Kör.
- Skriv “regedit” i dialogrutan Kör (utan citattecken) och tryck på Enter.
- Navigera till “HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ Lsa \ FipsAlgorithmPolicy \”.
- Titta på "Enabled" -värdet i den högra rutan. Om den är inställd på "0" är FIPS-läge inaktiverat. Om det är inställt på "1" är FIPS-läge aktiverat. För att ändra inställningen, dubbelklicka på “Enabled” och ställ in antingen “0” eller “1”.
- Starta om datorn.
Tack vare @SwiftOnSecurity på Twitter för att inspirera detta inlägg!
