OpenSSL verliert FIPS-Zertifizierung

Gründe sind nicht bekannt

Die freie Kryptografie-Software OpenSSL hat offensichtlich die Zertifizierung nach dem Federal Information Processing Standard (FIPS) 140-2 wieder verloren. Mittlerweile wird das Zertifikat als "nicht verfügbar" gekennzeichnet, zuvor soll der Status "widerrufen" gewesen sein.

Artikel veröffentlicht am 18. Juli 2006, 10:42 Uhr, Julius Stiebert

Am 14. Juli 2006 soll der Status des OpenSSL-Zertifikates 642 als "widerrufen" gekennzeichnet gewesen sein, berichtet das US-Magazin Government Computer News. Mittlerweile führt die Webseite des Cryptographic Module Validation Program (CMVP) das OpenSSL-Zertifikat als "nicht verfügbar" auf. Gegenüber den Government Computer News bestätigte ein Sprecher des CMVP, dass beide Statusmeldungen dieselbe Bedeutung hätten: Die Zertifizierung ist nicht mehr gültig. Warum die Zertifizierung jedoch zurückgenommen wurde, ist nicht bekannt.

OpenSSL war im März 2006 eine der ersten Open-Source-Applikationen, die FIPS-zertifiziert wurde. Durch die Zertifizierung wurde der Einsatz von OpenSSL in Regierungsorganisationen möglich, die nun durch den Zertifikatsverlust wieder nicht mehr erlaubt ist.

OpenSSL ist eine freie Implementierung der Protokolle SSL und TLS und war die erste zertifizierte Open-Source-Software zur Verschlüsselung. Für den seit 2003 laufenden Validierungsprozess mussten erst spezielle Testverfahren für quelloffene Software entwickelt werden.