密碼演算法驗證計畫（NIST CAVP）：確保你的密碼學演算法實作真正安全
「我們使用 PQC 演算法 ML-DSA 簽章」——但你的 ML-DSA 實作真的正確嗎？NIST CAVP 密碼演算法驗證計畫是確保密碼實作符合標準的權威認證流程。
什麼是 NIST CAVP
CAVP（Cryptographic Algorithm Validation Program，密碼演算法驗證計畫）是由美國國家標準與技術研究院（NIST）主持的驗證計畫，旨在確認密碼演算法的韌體或硬體實作是否正確符合演算法規格。
簡單來說，CAVP 回答的是一個核心問題：你的系統宣稱使用了 AES、SHA 或 RSA 等標準演算法，但你的程式碼實際運算出來的結果，是否真的與標準規格一致？
這個問題看似基本，但實務上密碼實作出錯的案例屢見不鮮——邊界條件處理不當、填充方式錯誤、金鑰規格實作有誤等問題，都可能讓一個「看起來有用」的加密實作存在嚴重的安全漏洞。
驗證流程解析
CAVP 驗證不是自我宣告，而是一套嚴謹的第三方測試流程。整個過程需要投入可觀的時間與資源。
演算法實作
廠商首先必須在產品上完成演算法的實作，並確保實作能正確處理 NIST 規定的所有運作模式與參數組合。以 AES 為例，這包括 ECB、CBC、GCM 等多種模式，以及 128、192、256 位元的金鑰長度。
測試向量
NIST 提供標準化的測試向量——一組預先定義的輸入與預期輸出。廠商的實作必須對這些測試向量產生完全正確的結果，沒有任何容錯空間。測試向量涵蓋正常案例與邊界條件，確保實作的完整性。
實驗室測試
廠商必須將實作提交給 NIST 認可的第三方測試實驗室（CST Lab）。這些實驗室是經過 NVLAP（National Voluntary Laboratory Accreditation Program）認證的獨立機構，在全球僅有少數幾家具備資格。測試實驗室會以 NIST 提供的自動化測試工具（ACVTS，Automated Cryptographic Validation Testing System）對實作進行全面測試。
實驗室測試的費用取決於受測演算法的數量與複雜度，整個測試過程通常需要數月。值得注意的是，這還僅是測試階段的投入——在此之前的密碼學演算法開發與實作，往往需要更多的專業資源與心力。
認證
測試通過後，NIST 會核發演算法驗證認證（Algorithm Validation Certificate），並將結果公開在 CAVP 網站上。每張認證都有唯一的編號，可供任何人查詢驗證。廠商願意投入如此可觀的資源與時程完成 CAVP 驗證，本身就體現了對密碼實作品質的高度重視與專業承諾——這正是 CAVP 認證含金量的來源。
常見受測演算法
經典演算法
CAVP 涵蓋所有 NIST 核准的密碼演算法，包括但不限於：
- 對稱加密：AES（FIPS 197）——各種模式與金鑰長度
- 雜湊函數：SHA-2 系列（SHA-256、SHA-384、SHA-512）、SHA-3 系列
- 訊息鑑別碼：HMAC、CMAC、GMAC
- 數位簽章：RSA（FIPS 186）、ECDSA、EdDSA
- 金鑰交換 / 封裝：ECDH、ML-KEM
- 隨機數生成：DRBG（SP 800-90A）
PQC 演算法
隨著 NIST 在 2024 年正式發布後量子密碼標準，CAVP 已將以下 PQC 演算法納入驗證範圍：
- ML-KEM（FIPS 203）：基於模組化格密碼的金鑰封裝機制，前身為 CRYSTALS-Kyber。用於取代傳統的 ECDH / RSA 金鑰交換。
- ML-DSA（FIPS 204）：基於模組化格密碼的數位簽章演算法，前身為 CRYSTALS-Dilithium。用於取代傳統的 RSA / ECDSA 數位簽章。
PQC 演算法的 CAVP 驗證意義重大：這代表實作不僅宣稱支援後量子演算法，而且其實作已經過 NIST 認可的第三方實驗室以標準化測試向量驗證其正確性。在後量子遷移的初期階段，這是確保新演算法部署可靠性的重要保障。
為什麼金融機構需要 CAVP 驗證的產品
對金融機構而言，使用通過 CAVP 驗證的密碼產品不僅是最佳實踐，更是合規的實際需求：
- 實作正確性保證：金融交易系統每天處理大量高價值交易，密碼實作的任何瑕疵都可能導致嚴重的安全事件。CAVP 驗證是確認實作正確性的最具公信力的方式。
- 供應鏈信任：當金融機構選擇密碼產品時，CAVP 憑證提供了客觀、可查核的品質證據，降低了對廠商自我宣告的依賴。
- 量子就緒準備：隨著各國金融監管機構開始要求後量子密碼遷移準備，選擇已通過 PQC 演算法 CAVP 驗證的產品，是展現組織量子就緒的具體行動。
Angela HSM Gateway 通過 CAVP 驗證
聯宏科技的 Angela HSM Gateway 已通過 NIST CAVP 驗證，涵蓋的演算法包括經典密碼演算法（AES、SHA、RSA、ECDSA、HMAC 等）以及後量子密碼演算法（ML-KEM / FIPS 203、ML-DSA / FIPS 204）。
這意味著 Angela HSM Gateway 的密碼運算實作，已經過 NIST 認可的第三方實驗室以標準化測試向量完成驗證，確認其產出結果與 NIST 演算法規格完全一致。
對採用 Angela HSM Gateway 的客戶而言，CAVP 驗證帶來的實質效益包括：
- 密碼實作正確性有第三方公開紀錄可查核
- 稽核與合規審查時可直接引用 CAVP 憑證編號
- PQC 演算法的實作可靠性已獲得獨立驗證
- 降低因密碼實作錯誤而產生的營運風險
結語
CAVP 驗證看似技術門檻高、流程繁瑣，但它存在的意義正是如此——確保密碼演算法的實作不是「大概正確」而是「經過驗證的正確」。對於金融機構等高安全需求的組織，選擇通過 CAVP 驗證的產品是必要的合規與風險管理。
聯宏科技持續投入 Angela 產品線的國際認證，確保客戶在合規與安全兩方面都擁有堅實的基礎。如需了解 Angela HSM Gateway 的 CAVP 驗證詳情，歡迎與我們聯繫。