Ce este conformitatea FIPS 140-2?

Dacă munca dvs. implică legătura cu guvernul SUA IT sau dumneavoastră produceți soluții hardware și / sau software pe care sperați să le furnizați guvernului SUA, probabil că ați auzit de conformitatea FIPS 140-2, dar ce înseamnă a fi compatibil cu FIPS și ar trebui să conteze pentru dvs.?

Ce înseamnă FIPS?

Acronimul „FIPS” se referă la „Standardele federale de procesare a informațiilor”. Seriile FIPS 140 sunt standarde de securitate a computerelor stabilite de Institutul Național de Standarde & Tehnologie (NIST) pentru guvernul SUA.

Glosar de termeni

Standardul de conformitate FIPS 140-2 tratează în mare măsură cheile de criptare și protecția fizică a acestora. Pentru cei care doresc să înțeleagă ce înseamnă toate acestea, dar nu sunt ei înșiși profesioniști în criptografie, iată o defalcare a unor termeni esențiali.

• Criptologie – Se ocupă cu cercetarea și dezvoltarea metodelor de comunicare sigure, inclusiv dezvoltarea și avansarea criptării și a altor metode de păstrare a datelor și a confidențialității datelor.
• Cheie criptografică – O serie de caractere cu text simplu folosită de un algoritm de criptare pentru a cripta sau decripta textul
• Modul criptografic – Un dispozitiv care gestionează criptarea, decriptarea, semnăturile digitale, autentificarea utilizatorului și generarea aleatorie de numere
• Parametru critic de securitate (CSP) – Conform Glosarului NIST, CSP-urile includ informații legate de securitate a căror divulgare sau modificare poate compromite securitatea unui modul criptografic
• Criterii comune (CC) – De asemenea, cunoscut sub numele de Criterii comune pentru evaluarea securității tehnologiei informației. Servește ca bază tehnică pentru Aranjamentul de recunoaștere a criteriilor comune (CCRA), un acord internațional care garantează că produsele de securitate sunt testate în mod adecvat de laboratoare independente autorizate
• Criptare – Procesul de codificare a unui mesaj sau fișier, de obicei cu un algoritm conceput pentru a fi impracticabil pentru inginerie inversă, astfel încât numai părțile autorizate să îl poată vizualiza.
• Text simplu – Text care nu a fost hashed sau ofuscat de un algoritm de criptare. Orice spectator ocazional poate vizualiza și citi text clar nesigurat și / sau necriptat

Ce este seria FIPS 140?

FIPS 140 este setul de cerințe și standarde pentru modulele criptografice atât pentru componentele software, cât și pentru componentele hardware utilizate de departamentele și agențiile guvernamentale din SUA. FIPS 140-2 este al doilea și actual (din data publicării acestui blog) set de standarde FIPS 140 emise de NIST. Lansat pe 25 mai 2001, FIPS 140-2 se extinde pe FIPS 140-1 (emis pe 11 ianuarie 1994), valorifică nivelurile de asigurare a evaluării (EAL) pentru criterii comune (CC) pentru a determina nivelul de securitate și ia în considerare feedbackul comunității, precum și noile Dezvoltări și tehnologii IT din 1994.

Este important să rețineți că, deși aceste standarde se adresează standardelor criptografice și de securitate atât pentru hardware cât și pentru software, aderarea unui produs la FIPS 140-2 nu garantează securitatea. FIPS 140-2 este destinat să se aplice numai modulelor criptografice care interacționează cu sarcini de lucru care gestionează informații sensibile, dar neclasificate (SBU).

Care sunt nivelurile de asigurare a evaluării?

Criteriile comune stabilesc șapte ( 7) diferite niveluri de asigurare a evaluării (EAL) numite în mod adecvat EAL1-EAL7. De asemenea, este obișnuit să vedeți un „+” lângă un anumit EAL (de exemplu, EAL5 +) pentru a semnifica că un anumit dispozitiv a îndeplinit anumite cerințe dincolo de minim pentru un anumit EAL. Deoarece cel mai înalt nivel de FIPS 140-2 necesită doar EAL4, va discuta EAL1-EAL4 numai în acest blog.

• EAL1: Destinat obiectivelor de evaluare (TOE) în care amenințările la adresa securității nu sunt considerate grave, dar este nevoie de încredere în securitatea implementată funcționează conform intenției. EAL1 este valoros pentru susținerea afirmației că o anumită organizație a acordat atenția cuvenită protecției informațiilor personale
• EAL2: ideal pentru produsele care necesită o asigurare rezonabilă de securitate atunci când înregistrarea de dezvoltare pentru un TOE nu este disponibil, cum ar fi cu medii IT vechi vechi
• EAL3: conceput pentru a oferi un nivel moderat de securitate asigurată. EAL3 privește TOE mai în profunzime, inclusiv dezvoltarea acestuia. Acest nivel este ideal pentru organizațiile cu practici solide de inginerie de securitate coapte la design n nivel și care nu se așteaptă să aibă nevoie să re-proiecteze în mod semnificativ TOE
• EAL4: cel mai înalt nivel care este posibil din punct de vedere economic pentru a se adapta la o linie de produse existentă (adică testarea și re-proiectarea) de produse care nu sunt construite având în vedere EAL mai mari vor fi probabil costisitoare și consumatoare de timp). EAL4 este conceput pentru a oferi o asigurare de securitate maximă pe baza celor mai bune practici de dezvoltare.

Care sunt diferitele niveluri ale FIPS 140-2?

Publicația FIPS 140-2 stabilește patru diferite niveluri de securitate.Nivelul 1 are cel mai scăzut nivel de cerințe de securitate, în timp ce Nivelul 4 oferă cel mai înalt nivel de securitate.

FIPS 140-2 Nivelul 1
Cel mai scăzut nivel de cerințe de securitate specificat pentru un modul criptografic. Nivelul de securitate 1 nu necesită niciun mecanism de securitate fizic dincolo de cerințele de bază pentru componentele de producție și permite executarea unui modul criptografic pe un computer de uz general folosind un sistem de operare neevaluat.

Un exemplu de Modulul criptografic de nivel 1 de securitate este o placă de criptare de pe un computer personal (PC).

FIPS 140-2 Nivelul 2 – Nivelul de securitate 2 se extinde la nivelul de securitate 1 adăugând trei cerințe principale:

• Dovezi de manipulare pe module criptografice: Acestea pot include acoperiri, sigilii sau încuietori rezistente la prelucrări care nu prezintă manipulări. Măsurile de evitare a falsificării trebuie aplicate astfel încât sigiliile și / sau acoperirile să fie rupte pentru a avea acces fizic la cheile criptografice în format simplu și la parametrii critici de securitate (CSP).
• Autentificare bazată pe rol: cerința minimă pentru nivelul de securitate 2 afirmă că un anumit utilizator trebuie să aibă rolul și nivelul de autorizare specific autentificate de modulul criptografic
• Cerințele sistemului de operare: nivelul de securitate 2 permite executarea unui modul criptografic cu un scop general PC folosind un sistem de operare de încredere aprobat sau evaluat. Sistemele de operare trebuie evaluate la nivelul de asigurare a evaluării Criteriilor comune (CC) EAL2 sau mai mare. Pentru mai multe informații, consultați secțiunea 1.2 din publicația FIPS 140-2.

FIPS 140-2 Nivelul 3
Cerințele de securitate stabilite de Nivelul de securitate 3 se extind pe cele stabilite de Nivelul 2 în patru domenii cheie:

• Prevenirea intruziunilor: Trecând dincolo de probele de manipulare implementate în nivelul de securitate 2, nivelul de securitate 3 necesită mecanisme de securitate fizică concepute pentru a împiedica un intrus să aibă acces la CSP în cadrul criptografic modul. Aceste mecanisme sunt destinate să aibă o mare probabilitate de a detecta și de a reacționa la încercările de acces fizic, manipulare sau utilizare a unui modul criptografic fără autorizare. Exemplele de mecanisme includ carcase puternice și circuite concepute pentru a zeroiza (șterge) CSP-ul în format text clar atunci când un modul este modificat.
• Autentificare bazată pe identitate: o metodă de autentificare mai granulară, autentificarea bazată pe identitate se îmbunătățește pe rol cerința de autentificare în nivelul de securitate 2. Acest lucru se realizează prin autentificarea identității unui anumit utilizator, mai degrabă decât autentificarea rolului utilizatorului respectiv. Un exemplu de diferență ar fi o rețea care necesită anumite autentificări de utilizator în loc de o rețea care poate avea conturi de uz general sau de oaspeți plus un cont de administrator generic.
• Separare fizică (sau logică): pentru a fi conform cu nivelul de securitate 3, intrarea și / sau ieșirea CSP-urilor în text clar trebuie efectuate folosind porturi care sunt separate fizic (sau interfețe logice separate, dacă există un mediu virtual) separate de alte porturi. CSP-urile cu text simplu pot fi introduse sau ieșite din modulul criptografic printr-un sistem de închidere sau de intervenție numai dacă sunt într-o formă criptată.
• Cerințele sistemului de operare: La fel ca Nivelul de securitate 2, Nivelul de securitate 3 permite un modul criptografic pentru a fi executat pe un computer de uz general folosind un sistem de operare care îndeplinește cerințele minime. Cerințele pentru nivelul de securitate 3 sunt mai stricte decât nivelul 2 și includ un nivel de asigurare a evaluării CC EAL3 sau mai mare. Mai multe informații despre cerințele sistemului de operare Security Level 3 pot fi găsite în Secțiunea 1.3 a publicației FIPS 140-2.

FIPS 140-2 Level 4
Security Level 4 prevede cel mai înalt nivel de securitate dintre cele patru niveluri de securitate FIPS 140-2 și este ideal pentru modulele criptografice care funcționează în medii neprotejate fizic. Pentru a vă face o idee despre ceea ce constituie un mediu neprotejat fizic, luați în considerare oriunde informațiile guvernamentale sau comunicațiile ar putea fi procesate, stocate sau tranzitate, cum ar fi sateliții și vehiculele aeriene fără pilot. Intenția nivelului de securitate 4 este ca mecanismele de securitate fizică să învelească și să protejeze complet modulul criptografic de toate încercările neautorizate de acces fizic la acesta. Mecanismele trebuie să ofere o probabilitate foarte mare de a detecta o intruziune și trebuie să fie proiectate pentru a zero imediat toate CSP-urile cu text simplu în cazul în care este detectată o intruziune.

Pentru a fi compatibil cu FIPS 140-2 Nivelul 4, o dată criptografică modulul trebuie, de asemenea, protejat împotriva condițiilor de mediu care ar putea împinge modulul în afara limitelor sale normale de funcționare. Este obișnuit ca potențialii intruși să împingă un modul criptografic în afara tensiunii și temperaturii sale normale pentru a compromite securitatea modulului.Exemplele ar include hiperîncălzirea sau înghețarea containerului modulului într-un efort de a-l face fragil (luați în considerare motivul popular al filmului unui spion care folosește azot lichid pentru a îngheța și a rupe un blocaj).

Protecția mediului poate apărea formă de caracteristici care zeroizează CSP-urile dacă modulul criptografic detectează fluctuații în afara intervalului normal de funcționare. Folosind exemplul de mai sus, dacă spionul din film ar îngheța o blocare la un modul criptografic pentru a-l rupe, măsurile de protecție a mediului ar detecta că blocarea este supusă unor temperaturi sub un prag stabilit și ar elimina modulul. Acest lucru îl face inutil pentru spion, chiar dacă modulul este obținut în cele din urmă.

Alternativ, cerința de protecție a mediului poate fi îndeplinită printr-o asigurare rezonabilă că fluctuațiile în afara intervalului normal de operare nu vor compromite securitatea modulului.

La fel ca la nivelurile de securitate 2 și 3, nivelul de securitate 4 necesită, de asemenea, un sistem de operare care îndeplinește un anumit nivel de asigurare a evaluării CC. Pentru ca un modul criptografic să fie compatibil cu FIPS 140-2 Nivelul 4, sistemul de operare pe care rulează trebuie să primească o evaluare CC EAL4 sau mai mare.

Certificarea FIPS 140-2

Pentru ca un anumit modul criptografic să fie validat conform cu FIPS 140-2, o organizație trebuie să trimită acel modul Programului de validare a modulului criptografic (CMVP). CMVP este un efort comun al NIST și al instituției de securitate a comunicațiilor (CSE) pentru guvernul canadian.

Pentru ca modulul lor să fie evaluat de CMVP, o organizație trebuie să trimită modulul la o testare acreditată a modulului criptografic. Laborator. Laboratoarele acreditate sunt laboratoare terțe care au fost certificate de Programul Național de Acreditare a Laboratorului Voluntar (NVLAP).

Menținerea certificării FIPS 140-2

Certificarea FIPS 140-2 poate fi o perioadă lungă de timp și un proces care necesită mult timp, de obicei de la câteva luni la peste un an de la început până la sfârșit. În plus, un modul trebuie reevaluat pentru fiecare modificare adusă software-ului, oricât de mică ar fi. În cazul în care se descoperă o problemă într-un modul compatibil FIPS, soluția își va pierde certificarea FIPS până când va fi reevaluată și certificată. În această perioadă, organizația nu va putea furniza modulul furnizorilor și agențiilor care necesită standardul.

Critici privind FIPS 140-2

În timp ce este validată ca fiind compatibilă cu FIPS 140-2 este o parte esențială a colaborării cu guvernul SUA IT, procesul de validare duce la unele critici valide asupra FIPS 140-2.

Punctul principal al criticilor este legat de procesul de validare îndelungat. Datorită procesului de validare de la un an la altul și a faptului că o organizație trebuie să-și revalideze produsul pentru fiecare modificare, oricât de minoră ar fi, multe companii sunt reticente să actualizeze sau să actualizeze software-ul, chiar dacă este detectat un bug. Acest lucru poate duce la rămânerea în urmă a actualizărilor critice și poate chiar să stimuleze organizațiile să ascundă erori minore în codul lor.

Organizațiile au descoperit erori și vulnerabilități în software-ul lor, dar au întâmpinat dificultăți și un proces neclar pentru a obține rapid o corecție validată ca compatibilă cu FIPS 140-2. Într-un exemplu, o organizație a descoperit o vulnerabilitate într-un modul certificat și avea patch-ul pregătit pentru implementare în aceeași zi, dar nu a reușit validarea patch-ului într-un interval de timp adecvat. Rezultatul a fost că organizația a anunțat vulnerabilitatea în software-ul lor și CMVP a revocat aproape imediat validarea modulului FIPS 140-2, lăsându-i pe aceștia și clienții lor în limb până la finalizarea noii validări.

Ce face acest caz în mod deosebit de remarcat este faptul că vulnerabilitatea a fost găsită într-un derivat open source al OpenSSL, pe care sa bazat validarea lor proprietară. Deși au existat mai multe alte validări proprietare bazate pe același cod, puțini sau niciunul nu a primit o revocare. Acest lucru se datorează faptului că alte organizații au modificat ușor și au validat codul sub un alt nume, mai degrabă decât să folosească codul identificat ca open source. Acest lucru a ascuns efectiv originea codului, iar alte companii au reușit să evite revocarea rezultată dintr-o vulnerabilitate găsită în codul sursă deschisă.

Întrebări pe care ar trebui să le puneți

Luând în considerare criticile FIPS 140-2 proces de validare, orice organizație care dorește ca modulul lor criptografic să fie utilizat de guvernul SUA ar trebui să adreseze creatorului modulului câteva întrebări importante:

• Când a fost ultima dată actualizarea modulului criptografic / validat?
• Există o nouă versiune a modulului criptografic în curs de validare?
• Există bug-uri sau vulnerabilități cunoscute în modul sau în codul său de bază care poate să nu fi fost dezvăluit?
• Există planuri de actualizare și / sau revalidare a modulului criptografic în viitorul apropiat?
• Cum arată procesul de actualizare / cadența pentru modulul compatibil FIPS?
• Modulul criptografic a suferit testări sau validări în afara CMVP?

***

Despre XMedius

XMedius este un lider global în domeniul soluțiilor de comunicații pentru întreprinderi. Suita sa de soluții de comunicații locale și cloud la nivel de întreprindere le permite companiilor să beneficieze de comunicații sigure și unificate, precum și să facă schimb de date sensibile și confidențiale care îndeplinesc și depășesc cerințele de conformitate a reglementărilor din industrie. Cu sediul în Montreal (Canada), cu birouri în Seattle (SUA) și Paris (Franța), compania deservește afaceri, întreprinderi și furnizori de servicii printr-o echipă globală de angajați orientați spre clienți. Soluțiile sale sunt implementate în întreaga lume în mai multe sectoare, inclusiv educație, finanțe, guvern, sănătate, producție, comerț cu amănuntul și servicii juridice. Pentru mai multe informații despre XMedius și soluțiile sale, vizitați www.xmedius.com și conectați-vă pe LinkedIn și Twitter.