FIPS 140-2 준수 란 무엇입니까? | XMedius

12월 14, 2020

FIPS 140-2 규정 준수 란 무엇입니까?

업무에 미국 정부 IT 또는 귀하와의 연락이 포함되는 경우 미국 정부에 공급하고자하는 하드웨어 및 / 또는 소프트웨어 솔루션을 생산하는 경우 FIPS 140-2 준수에 대해 들어 보셨을 것입니다.하지만 FIPS를 준수한다는 것은 무엇을 의미하며 이것이 중요해야합니까?

FIPS는 무엇을 의미합니까?

“FIPS”라는 약어는 “연방 정보 처리 표준”을 의미합니다. FIPS 140 시리즈는 미국 정부를 위해 NIST (National Institute of Standards) & 기술 (NIST)에서 설정 한 컴퓨터 보안 표준입니다.

용어집

FIPS 140-2 준수 표준은 암호화 키 및 물리적 보호를 많이 다룹니다. 이 모든 것이 무엇을 의미하는지 이해하고 싶지만 암호화 전문가가 아닌 사람들을 위해 다음은 몇 가지 필수 용어를 분석 한 것입니다.

암호화 – 다음을 포함한 보안 통신 방법의 연구 및 개발을 다룹니다. 암호화 및 데이터를 안전하게 보호하는 기타 방법의 개발 및 발전
암호화 키 – 암호화 알고리즘이 텍스트를 암호화하거나 해독하는 데 사용하는 일반 텍스트 문자 시리즈
암호화 모듈 – 암호화, 복호화, 디지털 서명, 사용자 인증 및 난수 생성을 처리하는 장치
CSP (Critical Security Parameter) – NIST 용어집에 따라 CSP에는 공개 또는 수정이 보안을 손상시킬 수있는 보안 관련 정보가 포함됩니다. 암호화 모듈의 보안
CC (Common Criteria) – 정보 기술 보안 평가를위한 Common Criteria라고도합니다. CCRA (Common Criteria Recognition Arrangement)의 기술 기반 역할을합니다. 보안 제품이 독립 라이센스 실험실에서 적절하게 테스트되도록 보장하는 국제 계약입니다.
암호화 – 일반적으로 메시지 또는 파일을 인코딩하는 프로세스입니다. 리버스 엔지니어링에 실용적이지 않도록 설계된 알고리즘으로 권한이있는 당사자 만 볼 수 있도록
일반 텍스트 – 암호화 알고리즘에 의해 해시되거나 난독 화되지 않은 텍스트입니다. 모든 일반 구경꾼은 보안되지 않거나 암호화되지 않은 일반 텍스트를보고 읽을 수 있습니다.

FIPS 140 시리즈 란 무엇입니까?

FIPS 140은 암호화 모듈에 대한 요구 사항 및 표준 집합입니다. 미국 정부 부처 및 기관에서 사용하기위한 소프트웨어 및 하드웨어 구성 요소 모두. FIPS 140-2는 NIST에서 발행 한 FIPS 140 표준의 두 번째이자 최신 (이 블로그 게시일 기준) 집합입니다. 2001 년 5 월 25 일에 출시 된 FIPS 140-2는 FIPS 140-1 (1994 년 1 월 11 일 발행)을 확장하고 CC (Common Criteria) 평가 보증 수준 (EAL)을 활용하여 보안 수준을 결정하며 커뮤니티 피드백과 새로운 기능을 고려합니다. 1994 년 이후 IT 개발 및 기술.

이러한 표준은 하드웨어와 소프트웨어 모두에 대한 암호화 및 보안 표준을 다루고 있지만 제품이 FIPS 140-2를 준수한다고해서 보안이 보장되는 것은 아닙니다. FIPS 140-2는 민감하지만 분류되지 않은 (SBU) 정보를 관리하는 워크로드와 상호 작용하는 암호화 모듈에만 적용됩니다.

평가 보증 수준은 무엇입니까?

공통 기준은 7 가지 ( 7) EAL1-EAL7로 적절하게 명명 된 다양한 EAL (평가 보증 수준). 또한 주어진 EAL (예 : EAL5 +) 옆에 “+”가 표시되어 특정 장치가 해당 EAL에 대한 최소 요구 사항을 초과하는 특정 요구 사항을 충족했음을 나타냅니다. 최고 수준의 FIPS 140-2에는 EAL4 만 필요하므로 이 블로그에서는 EAL1-EAL4에 대해서만 설명합니다.

EAL1 : 보안 위협이 심각하지 않지만 구현 된 보안에 대한 확신이 필요한 TOE (평가 대상) EAL1은 주어진 조직이 개인 정보 보호에주의를 기울 였다는 주장을 뒷받침하는 데 유용합니다.
EAL2 : TOE 개발 기록이있을 때 합리적인 보안 보장이 필요한 제품에 이상적입니다. 오래된 레거시 IT 환경에서는 사용할 수 없습니다.
EAL3 : 중간 수준의 보장 된 보안을 제공하도록 설계되었습니다. EAL3는 TOE의 개발을 포함하여보다 심도있는 TOE를 살펴 봅니다.이 수준은 다음과 같은 조직에 이상적입니다. 설계에 적용된 견고한 보안 엔지니어링 관행 n 레벨이고 TOE를 크게 재 설계 할 필요가 없을 것으로 예상되는 사람
EAL4 : 기존 제품 라인 (즉, 테스트 및 재 설계)에 개조 할 수있는 경제적으로 가능한 최고 레벨 더 높은 EAL을 염두에두고 제작되지 않은 제품의 경우 지나치게 많은 비용과 시간이 소요될 수 있습니다.) EAL4는 개발 모범 사례를 기반으로 최대 보안 보장을 제공하도록 설계되었습니다.

FIPS 140-2의 다른 수준은 무엇입니까?

FIPS 140-2 간행물은 다양한 수준의 보안.수준 1은 가장 낮은 수준의 보안 요구 사항을 제공하는 반면 수준 4는 가장 높은 수준의 보안을 제공합니다.

FIPS 140-2 수준 1
암호화 모듈에 대해 지정된 가장 낮은 수준의 보안 요구 사항입니다. 보안 수준 1은 프로덕션 등급 구성 요소의 기본 요구 사항을 넘어서는 물리적 보안 메커니즘이 필요하지 않으며 평가되지 않은 운영 체제를 사용하는 범용 컴퓨터에서 암호화 모듈을 실행할 수 있습니다.

예제 보안 수준 1 암호화 모듈은 개인용 컴퓨터 (PC)의 암호화 보드입니다.

FIPS 140-2 수준 2
보안 수준 2는 다음 세 가지 주요 요구 사항을 추가하여 보안 수준 1을 확장합니다.

암호화 모듈의 변조 증거 : 변조 방지 코팅, 봉인 또는 픽 방지 잠금이 포함될 수 있습니다. 변조 증거 조치는 일반 텍스트 암호화 키 및 중요 보안 매개 변수 (CSP)에 물리적으로 액세스하기 위해 봉인 및 / 또는 코팅이 파손되어야하는 방식으로 적용되어야합니다.
역할 기반 인증 : 보안 수준 2에 대한 최소 요구 사항은 특정 사용자가 암호화 모듈에 의해 인증 된 특정 역할 및 권한 수준을 가져야한다고 명시합니다.
운영 체제 요구 사항 : 보안 수준 2를 사용하면 암호화 모듈이 범용으로 실행될 수 있습니다. 승인되거나 평가 된 신뢰할 수있는 운영 체제를 활용하는 PC. 운영 체제는 CC (Common Criteria) 평가 보증 수준 EAL2 이상에서 평가되어야합니다. 자세한 정보는 FIPS 140-2 발행물의 섹션 1.2를 참조하십시오.

FIPS 140-2 레벨 3
보안 레벨 3에서 설정 한 보안 요구 사항은 레벨 2에서 설정 한 것을 확장합니다. 네 가지 주요 영역 :

침입 방지 : 보안 수준 2에서 구현 된 변조 증거를 넘어서 보안 수준 3에는 침입자가 암호화 내에서 CSP에 액세스하지 못하도록 설계된 물리적 보안 메커니즘이 필요합니다. 기준 치수. 이러한 메커니즘은 인증없이 암호화 모듈을 물리적으로 액세스, 변조 또는 사용하려는 시도를 탐지하고 대응할 가능성이 높습니다. 예제 메커니즘에는 모듈이 변조 될 때 일반 텍스트 CSP를 제로화 (지우기)하도록 설계된 강력한 인클로저 및 회로가 포함됩니다.
신원 기반 인증 :보다 세분화 된 인증 방법 인 신원 기반 인증은 역할 기반에서 향상됩니다. 보안 수준 2의 인증 요구 사항은 해당 사용자의 역할을 인증하는 대신 지정된 사용자의 ID를 인증함으로써 달성됩니다. 차이점의 예로는 일반 사용 또는 게스트 계정과 일반 관리자 계정이있을 수있는 네트워크 대신 특정 사용자 로그인이 필요한 네트워크가 있습니다.
물리적 (또는 논리적) 분리 : 규정 준수를 위해 보안 수준 3을 사용하는 경우 일반 텍스트 CSP의 입력 및 / 또는 출력은 다른 포트와 물리적으로 분리 된 (또는 가상 환경 인 경우 논리적으로 분리 된 인터페이스) 포트를 사용하여 수행해야합니다. 일반 텍스트 CSP는 암호화 된 형식 인 경우에만 포함 또는 개입 시스템을 통해 암호화 모듈에 입력하거나 출력 할 수 있습니다.
운영 체제 요구 사항 : 보안 수준 2와 마찬가지로 보안 수준 3은 다음을 허용합니다. 최소 요구 사항을 충족하는 운영 체제를 사용하는 범용 PC에서 실행되는 암호화 모듈. 보안 수준 3에 대한 요구 사항은 수준 2보다 더 엄격하며 CC 평가 보증 수준 EAL3 이상을 포함합니다. 보안 수준 3 운영 체제 요구 사항에 대한 자세한 내용은 FIPS 140-2 간행물의 섹션 1.3에서 확인할 수 있습니다.

FIPS 140-2 수준 4
보안 수준 4는 4 개의 FIPS 140-2 보안 수준 중 최고 수준의 보안을 제공하며 물리적으로 보호되지 않는 환경에서 작동하는 암호화 모듈에 이상적입니다. 물리적으로 보호되지 않는 환경을 구성하는 요소를 파악하려면 위성 및 무인 항공기와 같이 정부 정보 또는 통신이 처리, 저장 또는 통과 될 수있는 모든 곳을 고려하십시오. 보안 수준 4의 의도는 물리적 보안 메커니즘이 암호화 모듈을 완전히 감싸고 물리적으로 액세스하려는 모든 무단 시도로부터 보호하는 것입니다. 메커니즘은 침입을 감지 할 확률이 매우 높아야하며 침입이 감지되는 경우 모든 일반 텍스트 CSP를 즉시 제로화하도록 설계되어야합니다.

FIPS 140-2 레벨 4를 준수하려면 주어진 암호화 또한 모듈을 정상 작동 범위 밖으로 밀어 낼 수있는 환경 조건으로부터 모듈을 보호해야합니다. 잠재적 인 침입자가 암호화 모듈을 정상 전압 및 온도 외부로 밀어 모듈의 보안을 손상시키는 것은 일반적입니다.예를 들어 모듈 컨테이너를 과열 또는 냉동하여 모듈 컨테이너를 깨뜨리는 것이 포함됩니다 (액체 질소를 사용하여 잠금 장치를 고정하고 부수는 스파이의 인기있는 영화 주제를 고려하십시오).

환경 보호는 다음과 같습니다. 암호화 모듈이 정상 작동 범위를 벗어난 변동을 감지하면 CSP를 제로화하는 기능입니다. 위의 예를 사용하여 영화의 스파이가 잠금을 해제하기 위해 암호화 모듈에 잠금을 고정하는 경우 환경 보호 조치는 잠금이 설정된 임계 값 미만의 온도에 노출되고 모듈을 제로화하는 것을 감지합니다. 이로 인해 모듈이 결국 획득 되더라도 스파이에게는 쓸모가 없습니다.

또는 정상 작동 범위를 벗어난 변동이 모듈의 보안을 손상시키지 않는다는 합리적인 확신을 통해 환경 보호 요구 사항을 충족 할 수 있습니다.

보안 수준 2 및 3과 마찬가지로 보안 수준 4에도 특정 CC 평가 보증 수준을 충족하는 운영 체제가 필요합니다. 암호화 모듈이 FIPS 140-2 레벨 4를 준수하려면 실행중인 운영 체제가 EAL4 이상의 CC 평가를 받아야합니다.

FIPS 140-2 인증 받기

주어진 암호화 모듈이 FIPS 140-2를 준수하는 것으로 검증 되려면 조직은 해당 모듈을 CMVP (Cryptographic Module Validation Program)에 제출해야합니다. CMVP는 캐나다 정부를 위해 NIST와 CSE (Communications Security Establishment)가 공동으로 노력한 것입니다.

CMVP에서 모듈을 평가하려면 조직은 인증 된 암호화 모듈 테스트에 모듈을 제출해야합니다. 실험실. 공인 실험실은 National Voluntary Laboratory Accreditation Program (NVLAP)의 인증을받은 타사 실험실입니다.

FIPS 140-2 인증 유지

FIPS 140-2 인증은 오래 걸릴 수 있습니다. 시간이 많이 걸리는 프로세스로 일반적으로 처음부터 끝까지 몇 개월에서 1 년 이상이 걸립니다. 또한 소프트웨어의 변경 사항이 아무리 작더라도 모듈을 다시 평가해야합니다. FIPS 호환 모듈에서 문제가 발견되면 솔루션은 재평가 및 인증 될 때까지 FIPS 인증을 잃게됩니다. 이 기간 동안 조직은 표준이 필요한 공급 업체 및 대행사에 모듈을 제공 할 수 없습니다.

FIPS 140-2에 대한 비판

FIPS 140-2 준수로 검증되는 동안 미국 정부 IT와 협력하는 데 필수적인 부분이며, 유효성 검사 프로세스는 FIPS 140-2에 대한 몇 가지 유효한 비판으로 이어집니다.

비판의 주요 지점은 긴 유효성 검사 프로세스와 관련이 있습니다. 몇 개월에서 1 년 동안의 유효성 검사 프로세스와 조직은 변경 사항이있을 때마다 제품을 다시 유효성 검사해야한다는 사실로 인해 아무리 사소한 문제라도 버그가 감지 되더라도 소프트웨어 업데이트 또는 업그레이드를 꺼리는 기업이 많습니다. 이로 인해 중요한 업데이트가 뒤처 질 수 있으며 조직이 코드에서 사소한 버그를 숨기도록 장려 할 수도 있습니다.

조직은 소프트웨어에서 버그와 취약성을 발견했지만 어려움과 불명확 한 프로세스에 직면했습니다. FIPS 140-2 준수로 검증 된 수정 사항. 한 예에서 조직은 인증 된 모듈에서 취약점을 발견하고 같은 날 패치를 배포 할 준비를했지만 적절한 시간 내에 패치를 검증 할 수 없었습니다. 그 결과 조직은 소프트웨어의 취약점을 발표했고 CMVP는 거의 즉시 모듈의 FIPS 140-2 유효성 검사를 취소하여 새 유효성 검사가 완료 될 때까지 해당 사용자와 고객을 림보에 두었습니다.

이 사례의 원인은 무엇입니까? 특히 주목할만한 점은이 취약점이 독점 검증의 기반이 된 OpenSSL의 오픈 소스 파생물에서 발견되었다는 것입니다. 동일한 코드를 기반으로 한 다른 독점 유효성 검사가 여러 번 있었지만 취소를받은 사람은 거의 없었습니다. 이는 다른 조직이 오픈 소스로 식별 된 코드를 활용하는 대신 다른 이름으로 코드를 약간 수정하고 재 검증했기 때문입니다. 이로 인해 코드의 출처가 효과적으로 숨겨졌고 다른 회사는 오픈 소스 코드에서 발견 된 취약점으로 인한 해지를 피할 수있었습니다.

문의해야 할 질문

FIPS에 대한 비판 고려 140-2 유효성 검사 프로세스에서 미국 정부에서 암호화 모듈을 사용하려는 조직은 모듈 작성자에게 몇 가지 중요한 질문을해야합니다.

암호화 모듈이 마지막으로 업데이트 된시기 / 검증 되었습니까?
현재 검증중인 암호화 모듈의 새 버전이 있습니까?
공개되지 않았을 수있는 모듈 또는 기본 코드에 알려진 버그 나 취약점이 있습니까?
가까운 미래에 암호화 모듈을 업데이트 및 / 또는 재 검증 할 계획이 있습니까?
FIPS 호환 모듈의 업데이트 프로세스 / 케이던스는 어떻게 생겼습니까?
암호화 모듈이 CMVP 외부에서 테스트 또는 검증을 거쳤습니까?

***

XMedius 정보

XMedius는 엔터프라이즈 통신 솔루션 분야의 글로벌 리더입니다. 엔터프라이즈 급 온 프레미스 및 클라우드 통신 솔루션 제품군을 통해 기업은 안전하고 통합 된 통신의 이점을 누릴 수있을뿐만 아니라 산업 규정 준수 요구 사항을 충족하거나 초과하는 민감한 기밀 데이터를 교환 할 수 있습니다. 몬트리올 (캐나다)에 본사를두고 시애틀 (미국)과 파리 (프랑스)에 지사를두고있는이 회사는 고객 중심의 직원으로 구성된 글로벌 팀을 통해 비즈니스, 기업 및 서비스 제공 업체에 서비스를 제공합니다. 이 솔루션은 교육, 금융, 정부, 의료, 제조, 소매 및 법률 서비스를 포함한 여러 부문에 걸쳐 전 세계적으로 배포됩니다. XMedius 및 솔루션에 대한 자세한 내용은 www.xmedius.com을 방문하여 LinkedIn과 Twitter에 연결하십시오.

admin