符合 FIPS 的 AES256 上的 CWE-326

Question

为什么 Veracode 标记以下符合 FIPS 的 C#？

var cipher = new AesCng()
{
  BlockSize = 128,
  KeySize = 256,
  Mode = CipherMode.CBC,
  Padding = PaddingMode.PKCS7
};

Answer 1

嗨：当前的 Veracode 扫描可能不会在使用密钥大小为 256 的 AES 时标记 CWE 326。如果这是最近的扫描，请联系 Veracode 支持，以便我们进行更深入的了解看看为什么这被标记？

如果这是旧版扫描的结果，您可能需要尝试重新扫描应用程序以查看问题是否仍然存在。