Windows memiliki pengaturan tersembunyi yang hanya akan mengaktifkan enkripsi "FIPS-compliant" yang bersertifikasi pemerintah. Ini mungkin terdengar seperti cara untuk meningkatkan keamanan PC Anda, tetapi sebenarnya tidak. Anda tidak boleh mengaktifkan pengaturan ini kecuali Anda bekerja di pemerintahan atau perlu menguji bagaimana perangkat lunak akan berperilaku pada PC pemerintah.
Tweak ini cocok dengan mitos tweaking Windows yang tidak berguna lainnya. Jika Anda tidak sengaja menemukan pengaturan ini di Windows atau melihatnya disebutkan di tempat lain, jangan aktifkan. Jika Anda sudah mengaktifkannya tanpa alasan yang kuat, gunakan langkah-langkah di bawah ini untuk menonaktifkan "mode FIPS".
FIPS adalah singkatan dari "Standar Pemrosesan Informasi Federal." Ini adalah seperangkat standar pemerintah yang mendefinisikan bagaimana hal-hal tertentu digunakan dalam pemerintah-misalnya, algoritma enkripsi. FIPS mendefinisikan metode enkripsi spesifik tertentu yang dapat digunakan, serta metode untuk menghasilkan kunci enkripsi. Ini diterbitkan oleh Institut Nasional Standar dan Teknologi, atau NIST.
Pengaturan pada Windows mematuhi standar FIPS 140 dari pemerintah AS. Ketika diaktifkan, itu memaksa Windows untuk hanya menggunakan skema enkripsi FIPS-divalidasi dan menyarankan aplikasi untuk melakukannya, juga.
"Mode FIPS" tidak membuat Windows lebih aman. Itu hanya memblokir akses ke skema kriptografi yang lebih baru yang belum divalidasi FIPS. Itu berarti tidak akan dapat menggunakan skema enkripsi baru, atau cara yang lebih cepat menggunakan skema enkripsi yang sama. Dengan kata lain, itu membuat komputer Anda lebih lambat, kurang fungsional, dan bisa dibilang kurang aman.
Microsoft menjelaskan apa yang sebenarnya dilakukan pengaturan ini dalam posting blog berjudul "Mengapa Kami Tidak Merekomendasikan" Mode FIPS "Lagi." Microsoft hanya menyarankan Anda menggunakan mode FIPS jika Anda harus. Misalnya, jika Anda menggunakan komputer pemerintah AS, komputer itu seharusnya memiliki "mode FIPS" yang diaktifkan sesuai dengan peraturan pemerintah sendiri. Tidak ada kasus nyata di mana Anda ingin mengaktifkan ini di komputer pribadi Anda sendiri kecuali Anda menguji bagaimana perangkat lunak Anda berperilaku di komputer pemerintah AS dengan pengaturan ini diaktifkan.
Pengaturan ini melakukan dua hal ke Windows itu sendiri. Ini memaksa layanan Windows dan Windows untuk hanya menggunakan kriptografi yang divalidasi FIPS. Misalnya, layanan Schannel yang dibangun ke Windows tidak akan berfungsi dengan protokol SSL 2.0 dan 3.0 yang lebih lama, dan akan membutuhkan setidaknya TLS 1.0 sebagai gantinya.
Microsoft. NET framework juga akan memblokir akses ke algoritma yang tidak divalidasi oleh FIPS. Kerangka. NET menawarkan beberapa algoritma yang berbeda untuk kebanyakan algoritma kriptografi, dan tidak semuanya telah dikirim untuk validasi. Sebagai contoh, Microsoft mencatat bahwa ada tiga versi berbeda dari hashing algoritma SHA256 dalam kerangka .NET. Yang tercepat belum dikirim untuk validasi, tetapi harus aman. Sehingga memungkinkan mode FIPS akan memecah aplikasi .NET yang menggunakan algoritma yang lebih efisien atau memaksa mereka untuk menggunakan algoritma yang kurang efisien dan menjadi lebih lambat.
Selain dari dua hal tersebut, mengaktifkan mode FIPS merekomendasikan aplikasi yang mereka gunakan hanya enkripsi yang divalidasi FIPS juga. Tapi itu tidak memaksa yang lain. Aplikasi desktop Windows tradisional dapat memilih untuk mengimplementasikan kode enkripsi apa pun yang mereka inginkan-bahkan enkripsi yang sangat rentan-atau tidak ada enkripsi sama sekali. Mode FIPS tidak melakukan apa pun ke aplikasi lain kecuali mereka mematuhi pengaturan ini.
Anda seharusnya tidak mengaktifkan pengaturan ini kecuali Anda menggunakan komputer pemerintah dan dipaksa untuk melakukannya. Jika Anda mengaktifkan pengaturan ini, beberapa aplikasi konsumen mungkin benar-benar meminta Anda untuk menonaktifkan mode FIPS sehingga mereka dapat berfungsi dengan benar.
Jika Anda perlu mengaktifkan atau menonaktifkan mode FIPS-mungkin Anda telah melihat pesan kesalahan setelah Anda mengaktifkannya, Anda perlu menguji bagaimana perangkat lunak Anda akan berperilaku pada komputer dengan mode FIPS diaktifkan, atau Anda menggunakan komputer pemerintah dan memiliki untuk mengaktifkannya-Anda dapat melakukannya dengan beberapa cara. Mode FIPS hanya dapat diaktifkan ketika terhubung ke jaringan tertentu, atau melalui pengaturan seluruh sistem yang akan selalu berlaku.
Untuk mengaktifkan mode FIPS hanya ketika terhubung ke jaringan tertentu, lakukan langkah-langkah berikut:
Pengaturan ini juga dapat diubah di seluruh sistem dalam editor kebijakan grup. Alat ini hanya tersedia di versi Profesional, Enterprise, dan Pendidikan versi Windows-bukan Beranda. Anda hanya dapat menggunakan editor kebijakan grup lokal untuk mengubah alat ini jika Anda berada di komputer yang tidak bergabung dengan domain yang mengelola pengaturan kebijakan grup komputer Anda untuk Anda. Jika komputer Anda bergabung dengan domain dan pengaturan kebijakan grup dikelola secara terpusat oleh organisasi Anda, Anda tidak akan dapat mengubahnya sendiri. Untuk mengubah pengaturan ini dalam Kebijakan Grup:
Pada Windows versi rumah, Anda masih bisa mengaktifkan atau menonaktifkan pengaturan FIPS melalui pengaturan registri. Untuk memeriksa apakah FIPS diaktifkan atau dinonaktifkan di registri, ikuti langkah-langkah berikut:
Terima kasih kepada @SwiftOnSecurity di Twitter untuk menginspirasi posting ini!
