Was ist FIPS 140-2?
Was ist der Federal Information Processing Standard (FIPS) (Bundesstandard für Informationsverarbeitung)?
Der FIPS (Federal Information Processing Standard) 140-2 ist der Maßstab für die Validierung der Effektivität kryptographischer Hardware. Wenn ein Produkt ein FIPS 140-2-Zertifikat hat, wissen Sie, dass es von der US-Regierung und der Regierung Kanadas getestet und formell validiert wurde. Obwohl FIPS 140-2 ein Bundesstandard der US-Regierung/Regierung Kanadas ist, hat sich die FIPS 140-2-Compliance weltweit sowohl im staatlichen als auch im nichtstaatlichen Sektor als praktischer Sicherheitsmaßstab und realistische Best Practice durchgesetzt.
FIPS 140-3 ist die neueste Version des Computersicherheitsstandards der US-Regierung, der zur Validierung kryptographischer Module verwendet wird. Ab dem 1. April 2022 ersetzt FIPS PUB 140-3 „Security Requirements for Cryptographic Modules“ (Sicherheitsanforderungen für kryptographische Module) FIPS 140-2 für neue Einreichungen.
Nach FIPS 140-2 zertifizierte Produkte können nach der Validierung 5 Jahre lang gültig bleiben. Weitere Informationen finden Sie auf der NIST-Übergangsseite.
Ebenen des FIPS 140-2
Organisationen nutzen den FIPS 140-2-Standard, um sicherzustellen, dass die von ihnen ausgewählte Hardware bestimmte Sicherheitsanforderungen erfüllt. Der FIPS-Zertifizierungsstandard definiert vier zunehmende, qualitative Sicherheitslevel:
- Level 1: Fordert produktionstaugliche Geräte und extern getestete Algorithmen.
- Level 2: Fügt Anforderungen für physischen Manipulationsnachweis und rollenbasierte Authentifizierung hinzu. Software-Implementierungen müssen auf einem Betriebssystem laufen, das nach Common Criteria EAL2 zugelassen ist.
- Level 3: Fügt Anforderungen für physische Manipulationssicherheit und identitätsbasierte Authentifizierung hinzu. Außerdem muss eine physische oder logische Trennung zwischen den Schnittstellen bestehen, über die „kritische Sicherheitsparameter“ beim Modul ein- und abgehen. Private Schlüssel können nur in verschlüsselter Form eingehen bzw. abgehen.
- Level 4: Dieses Level erhöht die Anforderungen an die physische Sicherheit und fordert ein aktives Vorgehen gegen Manipulation und das Löschen der Inhalte des Geräts, wenn verschiedene Formen von Angriffen auf die Umgebung erkannt werden.
Der FIPS 140-2-Standard erlaubt technisch gesehen reine Software-Implementierungen auf Level 3 oder 4, stellt aber so strenge Anforderungen, dass nur sehr wenige davon validiert wurden.
Für viele Organisationen ist die Forderung nach einer FIPS-Zertifizierung nach FIPS 140-2 Level 3 ein guter Kompromiss zwischen effektiver Sicherheit, Benutzerfreundlichkeit und Auswahlmöglichkeiten auf dem Markt.
Warum ist FIPS 140-2 wichtig?
Fachleute für Sicherheit in der Informationstechnologie, die der Regierung der USA und Kanadas angehören, sowie aus der Branche erkennen an, dass ein kryptografisches Produkt unbedenklich zum Schutz sensibler Informationen, die keine Verschlusssachen sind, eingesetzt werden kann, wenn das Produkt gemäß den Sicherheitsanforderungen von FIPS PUB 140-2 validiert ist. Die meisten Unternehmen und Behörden verlangen eine FIPS Compliance, also, dass jedes neue kryptografische Produkt, das zum Schutz ihrer Informationen eingesetzt wird, nach FIPS PUB 140-2 validiert wird. Sowohl die US-amerikanische (NIST) als auch die kanadische (CSE) Regierung haben FIPS PUB 140-2 übernommen. Der Abschnitt "Applicability" (Anwendbarkeit) von FIPS 140-2 besagt Folgendes:
"Dieser Standard gilt für alle Bundesbehörden, die kryptografisch basierte Sicherheitssysteme zum Schutz sensibler Informationen in Computer- und Telekommunikationssystemen (einschließlich Sprachsystemen) gemäß der Definition in Section 5131 des Information Technology Management Reform Act von 1996, Public Law 104-106, verwenden. Bei der Entwicklung und Implementierung von kryptografischen Modulen, die von Bundesministerien und -behörden betrieben werden oder in ihrem Auftrag betrieben werden, muss auf FIPS Compliance geachtet werdenKryptografische Module, die für den Einsatz für Verschlusssachen zugelassen sind, können anstelle von Modulen verwendet werden, die anhand dieses Standards validiert wurden. Die Übernahme und Nutzung dieses Standards steht privaten und gewerblichen Organisationen zur Verfügung ..."
Was beinhaltet eine Validierung?
Validierungstests für FIPS 140-2 fallen unter das Cryptographic Module Validation Program (CMVP), das von der NIST und dem Communications Security Establishment (CSE) der kanadischen Regierung ins Leben gerufen wurde. Alle Prüfungen im Rahmen des CMVP werden von externen Labors durchgeführt, die im Rahmen des National Voluntary Laboratory Accreditation Program (NVLAP) für die Prüfmethoden FIPS 140-1 und FIPS 140-2 akkreditiert sind. Der Hersteller reicht ein Muster des Produkts zusammen mit der Design-Dokumentation ein. Das Labor führt eine Reihe von Tests mit dem Produkt durch und prüft die Dokumentation, um sicherzustellen, dass es gemäß den in FIPS PUB 140-2 festgelegten Vorschriften entwickelt wurde.
Dabei Prozess werden die folgenden Aspekte des Produkts und der Dokumentation untersucht:
- Spezifikation des kryptografischen Moduls
- Ports und Schnittstellen des kryptografischen Moduls
- Rollen, Dienste und Authentifizierung
- Endliches Zustandsmodell
- Sicherheit
- Betriebsumgebung
- Kryptografieschlüssel-Verwaltung
- Elektromagnetische Störung/Elektromagnetische Verträglichkeit (EMC/EMI)
- Selbsttests
- Entwicklungssicherung
- Entschärfung von anderen Angriffen
Gilt die Validierung auch für Software?
Ja. Die FIPS 140-1 Validierung gilt für das kryptografische Modul als Ganzes. Im Falle eines PCs, auf dem das kryptografische Modulprogramm von Entrust läuft, werden der PC selbst, das Betriebssystem und die Kryptosoftware als Teil des Moduls betrachtet und gemeinsam getestet.
Welchen Nutzen bietet die Validierung?
Aufgrund der komplexen Natur von kryptografischen Produkten hat ein Benutzer traditionell kaum eine andere Wahl, als darauf zu vertrauen, dass das Produkt wie beworben funktioniert und seine Daten tatsächlich wirksam schützt. Die FIPS 140-2 Validierung bietet die Gewissheit, dass eine unabhängige dritte Partei das Produkt eingehend geprüft hat und sicherstellt, dass es den strengen Sicherheitsanforderungen entspricht.
Welche Versionen verfügen über eine FIPS 140-Validierung?
Entrust ist ein Early Adopter des Standards. Entrust Cryptographic Kernel V. 1.9 war das erste Produkt, das jemals validiert wurde. Das offizielle Zertifikat wurde am 12. Oktober 1995 auf der National Information Systems Security Conference in Baltimore, Maryland, verliehen. Beim Verfassen dieses Artikels hatte Entrust 21 kryptografische Module auf der Validierungsliste.
Wie lange dauert der Prozess?
In der Regel kann eine FIPS 140-2 Validierung zwischen drei Monaten und einem Jahr oder mehr dauern. Dies hängt stark von der Art des zu evaluierenden Produkts ab (z. B. Hardware, Firmware oder Software, wie komplex, wie viele Algorithmen, welche Programmiersprache usw.).
Weitere Informationen zu FIPS 140-2
Der FIPS 140-2 Standard, die abgeleiteten Testanforderungen und Details zum Validierungsprozess können auf der Website von CygnaCom Solutions eingesehen werden.