Federal Information Processing Standard (FIPS)?
¿Qué es FIPS?
Lo standard FIPS (Federal Information Processing Standard) 140-2 è il punto di riferimento per la convalida dell'efficacia dell'hardware crittografico. Se un prodotto dispone di un certificato FIPS 140-2, sai che è stato testato e convalidato formalmente dai governi di Stati Uniti e Canada. Sebbene FIPS 140-2 sia uno standard federale statunitense/canadese, la conformità a FIPS 140-2 è stata ampiamente adottata in tutto il mondo sia nel settore governativo che in quello non governativo come parametro di sicurezza pratico e migliore pratica realistica. Le organizzazioni utilizzano lo standard FIPS 140-2 per garantire che l'hardware selezionato soddisfi requisiti di sicurezza specifici. Lo standard di certificazione FIPS definisce quattro livelli di sicurezza qualitativi crescenti: Livello 1: Richiede apparecchiature di livello produttivo e algoritmi testati esternamente. Livello 2: Aggiunge requisiti per prove di manomissione fisiche e autenticazione basata sui ruoli. Le implementazioni software devono essere eseguite su un sistema operativo approvato per Common Criteria di livello EAL2. Livello 3: Aggiunge requisiti per la resistenza alle manomissioni fisiche e l'autenticazione basata sull'identità. Deve altresì essere presente una separazione fisica o logica tra le interfacce in base alle quali "parametri di sicurezza critici" entrano ed escono dal modulo. Le chiavi private possono entrare o uscire solo in forma crittografata. Livello 4: Questo livello rende i requisiti di sicurezza fisica più rigorosi, richiedendo la capacità di essere a prova di manomissione, cancellando il contenuto del dispositivo se rileva varie forme di attacco ambientale. Lo standard FIPS 140-2 consente tecnicamente implementazioni solo software a livello 3 o 4, ma applica requisiti così severi che nessuno è stato convalidato. Per molte organizzazioni, richiedere la certificazione FIPS a FIPS 140 livello 3 è un buon compromesso tra sicurezza efficace, praticità operativa e scelta sul mercato.
FIPS 140-2 es la referencia para validar la eficacia de hardware criptográfico. Un producto certificado FIPS 140-2 ha sido probado y validado formalmente por los gobiernos de EE. UU. y Canadá. Aunque es un estándar federal de EE. UU. y Canadá, sectores gubernamentales y no gubernamentales de todo el mundo han adoptado FIPS 140-2 como referencia de seguridad realista. Las organizaciones utilizan FIPS 140-2 para garantizar que su hardware cumple requisitos de seguridad específicos. FIPS define cuatro niveles de seguridad incrementales: Nivel 1: Requiere equipos de producción y algoritmos probados externamente. Nivel 2: Añade autenticación basada en roles y requisitos para detectar manipulaciones. Las implementaciones software deben ejecutarse en un sistema operativo conforme a Criterios Comunes en EAL2. Nivel 3: Añade autenticación basada en roles y requisitos para detectar manipulaciones. También debe existir una separación física o lógica entre las interfaces por donde entran y salen “parámetros críticos de seguridad”. Las claves privadas solo pueden entrar o salir cifradas. Nivel 4: Este nivel hace más estrictos los requisitos de seguridad física. Requiere acciones contra la manipulación como borrar el contenido del dispositivo ante un ataque ambiental. Aunque FIPS 140-2 permite implementar niveles 3 o 4 mediante software, aplica requisitos tan estrictos que ninguno ha sido validado. Para muchas organizaciones, exigir FIPS 140 nivel 3 es un buen compromiso entre seguridad, conveniencia y mercado.