如何验证我的Tomcat应用服务器是否正确支持FIPS 140-2？

Question

我已经构建了openssl-fips，openssl和tc-native（Tomcat Native Library）并将Tomcat指向本机库。我看到APR在日志中开始了：

13-Nov-2014 14:01:32.197 INFO [main] org.apache.catalina.core.AprLifecycleListener.init Loaded APR based Apache Tomcat Native library 1.1.32 using APR version 1.3.9.
13-Nov-2014 14:01:32.197 INFO [main] org.apache.catalina.core.AprLifecycleListener.init APR capabilities: IPv6 [true], sendfile [true], accept filters [false], random [true].
13-Nov-2014 14:01:32.431 INFO [main] org.apache.catalina.core.AprLifecycleListener.initializeSSL OpenSSL successfully initialized (OpenSSL 1.0.1j 15 Oct 2014)
13-Nov-2014 14:01:32.712 INFO [main] org.apache.coyote.AbstractProtocol.init Initializing ProtocolHandler ["http-apr-443"]

我可以使用https://localhost/访问该网站，并且证书看起来是正确的。当我查看网站安全信息并比较之前的FIPS和FIPS之后的设置时，Firefox看起来是一样的：

问题是：

1. 如何验证浏览器和服务器之间的通信是否符合FIPS 140-2标准？
2. 有没有办法强制在服务器端进行仅FIPS通信？

Answer 1

可能不是很明显，但这不是<Connector>选项，而是在APRLifecycleListener的{​​{1}}中配置的APR选项。

您可以阅读documentation for the APRLifecycleListener，并看到有CATALINA_BASE/conf/server.xml设置可让您控制FIPS模式的使用。我想你想要FIPSMode。

这将迫使Tomcat（真正的OpenSSL）以符合FIPS的方式运行。客户端对此没有影响，因此必须符合服务器（符合FIPS标准）的行为。