quote LIBS to copy with empty string
[openssl.git] / README.FIPS
1 Preliminary status and build information for FIPS module v2.0
2
3 NB: if you are cross compiling you now need to use the latest "incore2" script
4 from http://www.openssl.org/docs/fips/incore2
5
6 If you have any object files from a previous build do:
7
8 make clean
9
10 To build the module do:
11
12 ./config fipscanisterbuild
13 make
14
15 Build should complete without errors.
16
17 Run test suite:
18
19 test/fips_test_suite
20
21 again should complete without errors.
22
23 Run test vectors: 
24
25 1. Download an appropriate set of testvectors from www.openssl.org/docs/fips
26    those for 2007 are OK.
27
28 2. Extract the files to a suitable directory.
29
30 3. Run the test vector perl script, for example:
31
32    cd fips
33    perl fipsalgtest.pl --dir=/wherever/stuff/was/extracted
34
35 4. It should say "passed all tests" at the end. Report full details of any
36    failures.
37
38 Examine the external symbols in fips/fipscanister.o they should all begin
39 with FIPS or fips. One way to check with GNU nm is:
40
41         nm -g --defined-only fips/fipscanister.o | grep -v -i fips
42
43 If you get *any* output at all from this test (i.e. symbols not starting with
44 fips or FIPS) please report it.
45
46 Restricted tarball tests.
47
48 The validated module will have its own tarball containing sufficient code to
49 build fipscanister.o and the associated algorithm tests. You can create a
50 similar tarball yourself for testing purposes using the commands below.
51
52 Standard restricted tarball:
53
54 make -f Makefile.fips dist
55
56 Prime field field only ECC tarball:
57
58 make NOEC2M=1 -f Makefile.fips dist
59
60 Once you've created the tarball extract into a fresh directory and do:
61
62 ./config
63 make
64
65 You can then run the algorithm tests as above. This build automatically uses
66 fipscanisterbuild and no-ec2m as appropriate.
67
68 FIPS capable OpenSSL test: WARNING PRELIMINARY INSTRUCTIONS, SUBJECT TO CHANGE.
69
70 At least initially the test module and FIPS capable OpenSSL may change and
71 by out of sync. You are advised to check for any changes and pull the latest
72 source from CVS if you have problems. See anon CVS and rsync instructions at:
73
74 http://www.openssl.org/source/repos.html
75
76 Make or download a restricted tarball from ftp://ftp.openssl.org/snapshot/
77
78 If required set the environment variable FIPSDIR to an appropriate location
79 to install the test module. If cross compiling set other environment
80 variables too.
81
82 In this restricted tarball on a Linux or U*ix like system run:
83
84 ./config
85 make
86 make install
87
88 On Windows from a VC++ environment do:
89
90 ms\do_fips
91
92 This will build and install the test module and some associated files.
93
94 Now download the latest version of the OpenSSL 1.0.1 branch from either a
95 snapshot or preferably CVS. For Linux do:
96
97 ./config fips [other args]
98 make
99
100 For Windows:
101
102 perl Configure VC-WIN32 fips [other args]
103 ms\do_nasm
104 nmake -f ms\ntdll.mak
105
106 (or ms\nt.mak for a static build).
107
108 Where [other args] can be any other arguments you use for an OpenSSL build
109 such as "shared" or "zlib".
110
111 This will build the fips capable OpenSSL and link it to the test module. You
112 can now try linking and testing applications against the FIPS capable OpenSSL.
113
114 Please report any problems to either the openssl-dev mailing list or directly
115 to me steve@openssl.org . Check the mailing lists regularly to avoid duplicate
116 reports.
117
118 Known issues:
119
120 Algorithm tests are pre-2011.
121 The fipslagtest.pl script wont auto run new algorithm tests such as DSA2.
122 Code needs extensively reviewing to ensure it builds correctly on 
123 supported platforms and is compliant with FIPS 140-2.
124 The "FIPS capable OpenSSL" is still largely untested, it builds and runs
125 some simple tests OK on some systems but needs far more "real world" testing.