Was ist FIPS 140-3?
Der FIPS (Federal Information Processing Standard) 140-3 ist der neueste Maßstab für die Validierung der Effektivität kryptografischer Hardware. Wenn ein Produkt ein FIPS 140-3-Zertifikat hat, wissen Sie, dass es von der US-Regierung und der Regierung Kanadas getestet und formell validiert wurde. Obwohl FIPS 140-3 ein relativer neuer Bundesstandard der US-Regierung bzw. Regierung Kanadas ist, hat sich die Compliance mit dem Vorgänger FIPS 140-2 weltweit sowohl im staatlichen als auch im nichtstaatlichen Sektor als praktischer Sicherheitsmaßstab und realistische bewährte Praktik durchgesetzt.
Was hat FIPS 140-3, was FIPS 140-2 nicht hat?
FIPS 140-3 ist die neueste Version des Computersicherheitsstandards der US-Regierung, der zur Validierung kryptographischer Module verwendet wird. FIPS 140-3 orientiert sich an der Norm ISO/IEC 19790 und enthält mehrere neue Erweiterungen der Sicherheitsanforderungen im Vergleich zur Norm FIPS 140-2:
- Der Indikator für die genehmigte Betriebsart gilt für alle Stufen und muss von jedem vom Modul angebotenen Dienst gemeldet werden.
- Strengere Anforderungen an die Nullsetzung von kritischen Sicherheitsparametern (Critical Security Parameters, CSPs).
- Die Komplexität der Authentifizierungsdaten darf nicht mehr durch verfahrenstechnische Mittel erzwungen werden, sondern muss durch das Modul erzwungen werden.
- Die physische Sicherheit der Stufe 3 erfordert nun, dass das Modul Spannungs- bzw. Temperaturabweichungen erkennt und darauf reagiert (Environmental Failure Protection, EFP) oder alternativ eine Umweltausfallprüfung (Environmental Failure Testing, EFT) durchläuft. Für die Stufe 4 sind nun EFP und Schutz gegen Fault Injection erforderlich.
- Neue Anforderungen an die Multi-Faktor-Authentifizierung (MFA) für Stufe 4.
- Neue Zuverlässigkeitsanforderungen für den Entwicklungszyklus des Moduls, die wichtige Sicherheitspraktiken wie das Testen des Moduls durch den Entwickler und die Verwendung automatisierter Sicherheitsdiagnosetools (z. B. statische Analyse) einführen
- Die nicht-invasive Sicherheit wird als fakultative Anforderung eingeführt und umfasst eine Anleitung zur Prüfung gegen Seitenkanalangriffe.
Ab dem 1. April 2022 ersetzt FIPS PUB 140-3 „Security Requirements for Cryptographic Modules“ (Sicherheitsanforderungen für kryptographische Module) FIPS 140-2 für neue Einreichungen.
Nach FIPS 140-2 zertifizierte Produkte können nach der Validierung 5 Jahre lang gültig bleiben. Weitere Informationen finden Sie auf der NIST-Übergangsseite.
Stufen des FIPS 140-3
Organisationen nutzen den FIPS 140-3-Standard, um sicherzustellen, dass die von ihnen ausgewählte Hardware bestimmte Sicherheitsanforderungen erfüllt. Der FIPS-Zertifizierungsstandard definiert vier zunehmende, qualitative Sicherheitslevel:
- Level 1: Fordert produktionstaugliche Geräte und extern getestete Algorithmen.
- Stufe 2: Fügt Anforderungen für physischen Manipulationsnachweis und rollenbasierte Authentifizierung hinzu.
- Stufe 3: Fügt Anforderungen für physische Manipulationssicherheit und identitätsbasierte Authentifizierung hinzu. Außerdem muss eine physische oder logische Trennung zwischen den Schnittstellen bestehen, über die „kritische Sicherheitsparameter“ beim Modul ein- und abgehen. Private Schlüssel können nur in verschlüsselter Form eingehen bzw. abgehen. Die Stufe 3 erfordert außerdem, dass das Modul Spannungs- bzw. Temperaturabweichungen erkennt und darauf reagiert (Environmental Failure Protection, EFP) oder alternativ eine Umweltausfallprüfung (Environmental Failure Testing, EFT) durchläuft.
- Stufe 4: Dieses Level erhöht die Anforderungen an die physische Sicherheit und fordert ein aktives Vorgehen gegen Manipulation und das Löschen der Inhalte des Geräts, wenn verschiedene Formen von Angriffen auf die Umgebung erkannt werden. Erforderlich sind EFP und ein Schutz gegen Fault Injection sowie eine Multi-Faktor-Authentifizierung.
Für viele Organisationen ist die Forderung nach einer FIPS-Zertifizierung nach FIPS 140-2 und FIPS 140-3 Stufe 3 ein guter Kompromiss zwischen effektiver Sicherheit, Benutzerfreundlichkeit und Auswahlmöglichkeiten auf dem Markt.
Bei der Veröffentlichung von FIPS 140-3 im Jahr 2019 wurde für FIPS 140-2-Zertifikate eine fünfjährige Verfallsfrist angekündigt.
SSL FAQ
Was ist FIPS 140-3?
FIPS 140-3 ist der aktuelle US-Bundesstandard für die Sicherheit kryptographischer Module und ersetzt FIPS 140-2. Er entspricht der internationalen Norm ISO 19790 und enthält strengere Prüfanforderungen.
Wann ist FIPS 140-3 erforderlich?
FIPS 140-3 ist für alle kryptographischen Produkte erforderlich, die von US-Bundesbehörden verwendet werden, insbesondere für solche, die mit Informationen arbeiten, die sensibel, aber nicht klassifiziert (SBU, Sensitive But Unclassified) sind. Unternehmen, die in regulierten Sektoren wie dem Gesundheits- und Finanzwesen tätig sind, sind zwar gesetzlich nicht dazu verpflichtet, verwenden aber häufig die FIPS 140-3-Verschlüsselung, um die Compliance zu sichern und sensible Daten zu schützen.
Wann ist FIPS 140-3 in Kraft getreten?
FIPS 140-3 wurde im März 2019 verabschiedet und trat am 22. September 2019 in Kraft. Es gab jedoch eine Übergangszeit, und FIPS 140-2 blieb für neue Validierungen bis zum 1. April 2022 aktiv. Seit diesem Datum ist FIPS 140-3 für alle neuen Zertifizierungen von kryptografischen Modulen verbindlich.