了解 FIPS 操作模式术语和支持的加密算法

与安全相关的信息（例如，秘密和私有加密密钥以及密码和个人标识号 （PIN） 等身份验证数据），泄露或修改这些信息可能会危及加密模块或其所保护信息的安全性。

实现经批准的安全功能（包括加密算法和密钥生成）并包含在加密边界内的硬件、软件和固件集。SRX 系列设备已通过 FIPS 140-2 2 2 级 认证。

具有适当权限的人员，负责在设备上以 FIPS 操作模式安全地启用、配置、监控和维护 Junos OS。有关详细信息，请参阅 了解 FIPS 操作模式下 Junos OS 的角色和服务。

封装安全有效负载 （ESP） 协议。IPsec 协议的一部分，通过加密保证数据包的机密性。该协议可确保，如果 ESP 数据包成功解密，并且没有其他方知道对等方共享的密钥，则该数据包在传输过程中不会被窃听。

联邦信息处理标准。FIPS 140-2 指定了安全和加密模块的要求。FIPS 操作模式下的 Junos OS 符合 FIPS 140-2 级别 2。

互联网密钥交换 （IKE） 是 IPsec 的一部分，它提供了安全协商共享私钥的方法，IPsec 的身份验证标头 （AH） 和 ESP 部分需要这些共享私钥才能正常运行。IKE 采用 Diffie-Hellman 密钥交换方法，在 IPsec 中是可选的。（可以在端点手动输入共享密钥。

IP 安全 （IPsec） 协议。为互联网通信增加安全性的标准方法。IPsec 安全关联 （SA） 通过相互身份验证和加密与其他 FIPS 加密模块建立安全通信。

已知答案测试。系统自检，用于验证经批准用于 FIPS 的加密算法的输出，并测试某些 Junos OS 模块的完整性。有关详细信息，请参阅 了解 FIPS 自检。

安全关联 （SA）。主机之间的一种连接，允许主机通过定义（例如）交换私钥的方式来安全地进行通信。作为加密官，您必须在以 FIPS 操作模式运行 Junos OS 的设备上手动配置内部 SA。所有值（包括键）都必须在配置中静态指定。

安全参数索引 （SPI）。与目标地址和安全协议（以 IPsec 为单位）一起使用的数字标识符，用于标识 SA。由于您在 FIPS 操作模式下手动配置 Junos OS 的 SA，因此必须将 SPI 作为参数输入，而不是随机派生。

一种协议，它使用强身份验证和加密通过不安全的网络进行远程访问。SSH 提供远程登录、远程程序执行、文件复制等功能。它旨在作为 UNIX 环境中 rlogin、 rsh 和 rcp 的安全替代品。要保护通过管理连接发送的信息，请使用 SSHv2 进行 CLI 配置。在 Junos OS 中，默认情况下启用 SSHv2，而被视为不安全的 SSHv1 处于禁用状态。

在设备上作为 FIPS 加密模块运行之前，或准备将设备重新用于非 FIPS 操作之前，擦除设备上的所有 CSP 和其他用户创建的数据。密码官可以使用 CLI 操作命令将系统归零。有关详细信息，请参阅 了解清零以清除 FIPS 操作模式的系统数据。

在 FIPS PUB 197 中定义的高级加密标准 （AES）。AES 算法使用 128、192 或 256 位的密钥以 128 位块的形式加密和解密数据。

一种在不安全环境（如互联网）上进行密钥交换的方法。Diffie-Hellman 算法协商会话密钥，而无需通过网络发送密钥本身，允许每一方独立选择一个部分密钥并将该密钥的一部分发送给另一方。然后，每一方计算一个公共键值。这是一种对称方法，密钥通常只在短时间内使用、丢弃并重新生成。

椭圆曲线迪菲-赫尔曼。Diffie-Hellman 密钥交换算法的一种变体，它使用基于有限域上椭圆曲线代数结构的密码学。ECDH允许双方（每一方都有一个椭圆曲线公钥-私钥对）在不安全的通道上建立共享密钥。共享密钥既可以用作密钥，也可以派生另一个密钥，以便使用对称密钥密码加密后续通信。

椭圆曲线数字签名算法。数字签名算法 （DSA） 的一种变体，它使用基于有限域上椭圆曲线的代数结构的密码学。椭圆曲线的位大小决定了解密密钥的难度。ECDSA 所需的公钥大约是以位为单位的安全强度大小的两倍。

HMAC 在 RFC 2104 中定义为用于消息身份验证的密钥哈希，它将哈希算法与用于消息身份验证的加密密钥相结合。

加密标准基于 1970 年代的原始数据加密标准 （DES），该标准使用 56 位密钥，并于 1997 年被破解。更安全的 3DES 是 DES 增强版，具有三个多级和约 112 位的有效密钥长度。对于 FIPS 操作模式下的 Junos OS，3DES 通过密码块链接 （CBC） 实现。