What is the Federal Information Processing Standard (FIPS)?
Federal Information Processing Standard (FIPS)?
FIPS (Federal Information Processing Standard) 140-2 is the benchmark for validating the effectiveness of cryptographic hardware. If a product has a FIPS 140-2 certificate you know that it has been tested and formally validated by the U.S. and Canadian Governments. Although FIPS 140-2 is a U.S./Canadian Federal standard, FIPS 140-2 compliance has been widely adopted around the world in both governmental and non-governmental sectors as a practical security benchmark and realistic best practice. Organizations use the FIPS 140-2 standard to ensure that the hardware they select meets specific security requirements. The FIPS certification standard defines four increasing, qualitative levels of security: Level 1: Requires production-grade equipment and externally tested algorithms. Level 2: Adds requirements for physical tamper-evidence and role-based authentication. Software implementations must run on an Operating System approved to Common Criteria at EAL2. Level 3: Adds requirements for physical tamper-resistance and identity-based authentication. There must also be physical or logical separation between the interfaces by which “critical security parameters” enter and leave the module. Private keys can only enter or leave in encrypted form. Level 4: This level makes the physical security requirements more stringent, requiring the ability to be tamper-active, erasing the contents of the device if it detects various forms of environmental attack. The FIPS 140-2 standard technically allows for software-only implementations at level 3 or 4, but applies such stringent requirements that none have been validated. For many organizations, requiring FIPS certification at FIPS 140 level 3 is a good compromise between effective security, operational convenience, and choice in the marketplace.
Lo standard FIPS (Federal Information Processing Standard) 140-2 è il punto di riferimento per la convalida dell'efficacia dell'hardware crittografico. Se un prodotto dispone di un certificato FIPS 140-2, sai che è stato testato e convalidato formalmente dai governi di Stati Uniti e Canada. Sebbene FIPS 140-2 sia uno standard federale statunitense/canadese, la conformità a FIPS 140-2 è stata ampiamente adottata in tutto il mondo sia nel settore governativo che in quello non governativo come parametro di sicurezza pratico e migliore pratica realistica. Le organizzazioni utilizzano lo standard FIPS 140-2 per garantire che l'hardware selezionato soddisfi requisiti di sicurezza specifici. Lo standard di certificazione FIPS definisce quattro livelli di sicurezza qualitativi crescenti: Livello 1: Richiede apparecchiature di livello produttivo e algoritmi testati esternamente. Livello 2: Aggiunge requisiti per prove di manomissione fisiche e autenticazione basata sui ruoli. Le implementazioni software devono essere eseguite su un sistema operativo approvato per Common Criteria di livello EAL2. Livello 3: Aggiunge requisiti per la resistenza alle manomissioni fisiche e l'autenticazione basata sull'identità. Deve altresì essere presente una separazione fisica o logica tra le interfacce in base alle quali "parametri di sicurezza critici" entrano ed escono dal modulo. Le chiavi private possono entrare o uscire solo in forma crittografata. Livello 4: Questo livello rende i requisiti di sicurezza fisica più rigorosi, richiedendo la capacità di essere a prova di manomissione, cancellando il contenuto del dispositivo se rileva varie forme di attacco ambientale. Lo standard FIPS 140-2 consente tecnicamente implementazioni solo software a livello 3 o 4, ma applica requisiti così severi che nessuno è stato convalidato. Per molte organizzazioni, richiedere la certificazione FIPS a FIPS 140 livello 3 è un buon compromesso tra sicurezza efficace, praticità operativa e scelta sul mercato.