AJAX.NET 和 FIPS

Question

我们的应用程序有几个部分使用 AJAX.NET 5.7.25.1。我们的服务器管理员已启用 FIPS，但我们遇到以下错误：

此实现不是 Windows 平台 FIPS 验证的加密算法的一部分。

调用堆栈：

at System.Security.Cryptography.MD5CryptoServiceProvider..ctor()     
at MS.Utilities.MD5Helper.GetHash(Byte[] data)     
at Ajax.AjaxRequestProcessor.Run()     
at Ajax.AjaxHandler.ProcessRequest(HttpContext context)     
at System.Web.HttpApplication.CallHandlerExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute()     
at System.Web.HttpApplication.ExecuteStep(IExecutionStep step, Boolean& completedSynchronously)

AJAX.NET 库的较新版本是否符合 FIPS 标准？

Answer 1

此处最快的方法可能是直接修改 AJAX.Net pro 源代码以删除使用 MD5 算法的违规调用。从 Codeplex 获取您正在使用的 AJax.NET pro 版本的源代码。在 AjaxPro/Utilities/MD5Helper.cs 中：

将行...替换

MD5 md5 = new MD5CryptoServiceProvider();

为行...

SHA1 md5 = new SHA1CryptoServiceProvider();

这应该可以修复它。 根据此页面，SHA1 符合 FIPS 规范

在本例中...正在使用的唯一 API 是 ComputeHash() 方法，两个提供商都实现了该方法...

只需切换加密提供商，您就应该能够编译和使用代码，而无需任何其他更改，也没有任何烦人的 FIPS政策违规标志。

Answer 2

在 .NET 中使用任何 MD5 哈希算法都被视为不符合 FIPS，因此总会出现该错误。我不确定 AjaxRequestProcessor 是否可能使用 MD5，它可能是某种视图状态操作。更改视图状态加密算法以使用 3DES 而不是 MD5 可能会有所帮助。

尝试在 web.config 文件的 system.web 部分中添加此密钥：

<machineKey validationKey="AutoGenerate,IsolateApps" decryptionKey="AutoGenerate,IsolateApps" validation="3DES" decryption="3DES"/>

有关解决方法的完整文章此处< /a>.

此外，仅在 Web 配置中设置 debug="true" 就会导致出现此错误，因为 .NET 使用 MD5 进行某些调试操作。你的 web.config 中是否有 debug="false" ？

<system.web>
    <compilation debug="false">
</system.web>