Was ist der Federal Information Processing Standard (FIPS) (Bundesstandard für Informationsverarbeitung)?
Что такое Федеральный стандарт по обработке информации (FIPS)?
Der FIPS (Federal Information Processing Standard) 140-2 ist der Maßstab für die Validierung der Effektivität kryptographischer Hardware. Wenn ein Produkt ein FIPS 140-2-Zertifikat hat, wissen Sie, dass es von der US-Regierung und der Regierung Kanadas getestet und formell validiert wurde. Obwohl FIPS 140-2 ein Bundesstandard der US-Regierung/Regierung Kanadas ist, hat sich die FIPS 140-2-Compliance weltweit sowohl im staatlichen als auch im nichtstaatlichen Sektor als praktischer Sicherheitsmaßstab und realistische Best Practice durchgesetzt. Organisationen nutzen den FIPS 140-2-Standard, um sicherzustellen, dass die von ihnen ausgewählte Hardware bestimmte Sicherheitsanforderungen erfüllt. Der FIPS-Zertifizierungsstandard definiert vier zunehmende, qualitative Sicherheitslevel: Level 1: Fordert produktionstaugliche Geräte und extern getestete Algorithmen. Level 2: Fügt Anforderungen für physischen Manipulationsnachweis und rollenbasierte Authentifizierung hinzu. Software-Implementierungen müssen auf einem Betriebssystem laufen, das nach Common Criteria EAL2 zugelassen ist. Level 3: Fügt Anforderungen für physische Manipulationssicherheit und identitätsbasierte Authentifizierung hinzu. Außerdem muss eine physische oder logische Trennung zwischen den Schnittstellen bestehen, über die „kritische Sicherheitsparameter“ beim Modul ein- und abgehen. Private Schlüssel können nur in verschlüsselter Form eingehen bzw. abgehen. Level 4: Dieses Level erhöht die Anforderungen an die physische Sicherheit und fordert ein aktives Vorgehen gegen Manipulation und das Löschen der Inhalte des Geräts, wenn verschiedene Formen von Angriffen auf die Umgebung erkannt werden. Der FIPS 140-2-Standard erlaubt technisch gesehen reine Software-Implementierungen auf Level 3 oder 4, stellt aber so strenge Anforderungen, dass keine davon validiert wurde. Für viele Organisationen ist die Forderung nach einer FIPS-Zertifizierung nach FIPS 140 Level 3 ein guter Kompromiss zwischen effektiver Sicherheit, Benutzerfreundlichkeit und Auswahlmöglichkeiten auf dem Markt.
Федеральный стандарт по обработке информации (FIPS) 140-2 является эталоном для подтверждения эффективности криптографического оборудования. Продукты с сертификатами FIPS 140-2 были протестированы и официально одобрены правительствами США и Канады. Хотя FIPS 140-2 является федеральным стандартом США/Канады, правительственные и частные организации во всем мире часто используют соответствие стандарту FIPS 140-2 в качестве объективной оценки безопасности и актуальной передовой практики. Организации используют стандарт FIPS 140-2 для обеспечения соответствия выбранного ими оборудования конкретным требованиям безопасности. Стандарт сертификации FIPS определяет четыре качественных уровня безопасности: Уровень 1: требуется оборудование производственного класса и проверенные алгоритмы. Уровень 2: добавляются требования к физическим признакам взлома и аутентификации на основе ролей. Внедрение программного обеспечения должно выполняться в операционной системе, одобренной в соответствии с Общими критериями на уровне EAL2. Уровень 3: добавляются требования к физической защите от взлома и аутентификации на основе идентификации личности. Также необходимо наличие физического или логического разделения между интерфейсами, с учетом которого «критические параметры безопасности» входят в модуль и выходят из него. Закрытые ключи могут входить и выходить только в зашифрованном виде. Уровень 4: требования физической безопасности становятся более строгими, добавляется требование к активному поведению при взломе, т. е. стиранию содержимого устройства при обнаружении какой-либо атаки на среду. Стандарт FIPS 140-2 технически допускает внедрение исключительно программных решений на уровне 3 или 4, но выдвигает настолько строгие требования, что ни одно из таких решений не было одобрено. Для многих организаций требование сертификации по стандарту FIPS 140 уровня 3 является хорошим компромиссом между эффективной безопасностью, удобством эксплуатации и доступностью на рынке.