Was ist der Federal Information Processing Standard (FIPS) (Bundesstandard für Informationsverarbeitung)?
O que é o Federal Information Processing Standard (FIPS)?
Der FIPS (Federal Information Processing Standard) 140-2 ist der Maßstab für die Validierung der Effektivität kryptographischer Hardware. Wenn ein Produkt ein FIPS 140-2-Zertifikat hat, wissen Sie, dass es von der US-Regierung und der Regierung Kanadas getestet und formell validiert wurde. Obwohl FIPS 140-2 ein Bundesstandard der US-Regierung/Regierung Kanadas ist, hat sich die FIPS 140-2-Compliance weltweit sowohl im staatlichen als auch im nichtstaatlichen Sektor als praktischer Sicherheitsmaßstab und realistische Best Practice durchgesetzt. Organisationen nutzen den FIPS 140-2-Standard, um sicherzustellen, dass die von ihnen ausgewählte Hardware bestimmte Sicherheitsanforderungen erfüllt. Der FIPS-Zertifizierungsstandard definiert vier zunehmende, qualitative Sicherheitslevel: Level 1: Fordert produktionstaugliche Geräte und extern getestete Algorithmen. Level 2: Fügt Anforderungen für physischen Manipulationsnachweis und rollenbasierte Authentifizierung hinzu. Software-Implementierungen müssen auf einem Betriebssystem laufen, das nach Common Criteria EAL2 zugelassen ist. Level 3: Fügt Anforderungen für physische Manipulationssicherheit und identitätsbasierte Authentifizierung hinzu. Außerdem muss eine physische oder logische Trennung zwischen den Schnittstellen bestehen, über die „kritische Sicherheitsparameter“ beim Modul ein- und abgehen. Private Schlüssel können nur in verschlüsselter Form eingehen bzw. abgehen. Level 4: Dieses Level erhöht die Anforderungen an die physische Sicherheit und fordert ein aktives Vorgehen gegen Manipulation und das Löschen der Inhalte des Geräts, wenn verschiedene Formen von Angriffen auf die Umgebung erkannt werden. Der FIPS 140-2-Standard erlaubt technisch gesehen reine Software-Implementierungen auf Level 3 oder 4, stellt aber so strenge Anforderungen, dass keine davon validiert wurde. Für viele Organisationen ist die Forderung nach einer FIPS-Zertifizierung nach FIPS 140 Level 3 ein guter Kompromiss zwischen effektiver Sicherheit, Benutzerfreundlichkeit und Auswahlmöglichkeiten auf dem Markt.
FIPS (Federal Information Processing Standard) 140-2 é a referência para validar a eficácia do hardware criptográfico. Se um produto tem um certificado pela FIPS 140‑2, sabemos que ele foi testado e formalmente validado pelos governos dos Estados Unidos e do Canadá. Embora a FIPS 140‑2 seja uma norma dos EUA/Canadá, ela tem sido amplamente adotada em todo o mundo, tanto no setor governamental quanto no não governamental, como referência prática de segurança e melhor prática realista. As organizações utilizam a norma FIPS 140‑2 para garantir que o hardware selecionado atenda às exigências específicas de segurança. A norma de certificação FIPS define quatro níveis crescentes e qualitativos de segurança: Nível 1: Requer equipamento de primeira qualidade e algoritmos testados externamente. Nível 2: Agrega requisitos de prova física de violação e autenticação baseada em funções. As implementações de software devem ser feitas em um sistema operacional aprovado de acordo com Common Criteria no EAL2. Nível 3: Adiciona requisitos de resistência física à violação e autenticação baseada em identidade. Também deve haver uma separação física ou lógica entre as interfaces pelas quais “parâmetros de segurança fundamentais” entram e saem do módulo. As chaves privadas só podem entrar ou sair em forma criptografada. Nível 4: Este nível torna os requisitos de segurança física mais rigorosos, exigindo a capacidade de ser ativo contra violações, apagando o conteúdo do dispositivo se ele detectar várias formas de ataque. A norma FIPS 140‑2 tecnicamente permite implementações somente de software no nível 3 ou 4, mas aplica requisitos tão rigorosos que nenhum foi validado. Para muitas organizações, exigir a certificação FIPS nível 3 do FIPS 140 é um bom compromisso entre segurança, conveniência operacional e escolha no mercado.