¿Qué es FIPS 140-2?
¿Qué es FIPS?
FIPS 140-2 es la referencia para validar la eficacia de hardware criptográfico. Un producto certificado FIPS 140-2 ha sido probado y validado formalmente por los gobiernos de EE. UU. y Canadá. Aunque es un estándar federal de EE. UU. y Canadá, sectores gubernamentales y no gubernamentales de todo el mundo han adoptado FIPS 140-2 como referencia de seguridad realista.
FIPS 140-3 es la última versión de la norma de seguridad informática del gobierno de Estados Unidos que se utiliza para validar los módulos criptográficos. A partir del 1 de abril de 2022, los requerimientos de seguridad para módulos criptográficos FIPS PUB 140-3 sustituye a FIPS 140-2 para las nuevas presentaciones.
Los productos certificados según FIPS 140-2 son válidos por 5 años después de la validación. Consulte la página de transición NIST para más detalles.
FIPS Niveles 140-2
Las organizaciones utilizan FIPS 140-2 para garantizar que su hardware cumple requisitos de seguridad específicos. FIPS define cuatro niveles de seguridad incrementales:
- Nivel 1: Requiere equipos de producción y algoritmos verificados externamente.
- Nivel 2: Añade autenticación basada en roles y requisitos para detectar manipulaciones. Las implementaciones software deben ejecutarse en un sistema operativo conforme a Common Criteria en EAL2.
- Nivel 3: Añade autenticación basada en roles y requisitos para detectar manipulaciones. También debe existir una separación física o lógica entre las interfaces por donde entran y salen “parámetros críticos de seguridad”. Las claves privadas solo pueden entrar o salir cifradas.
- Nivel 4: Este nivel hace más estrictos los requisitos de seguridad física. Requiere acciones contra la manipulación como borrar el contenido del dispositivo ante un ataque ambiental.
El estándar FIPS 140-2 permite de forma técnica implementaciones de solo software en el nivel 3 o 4, pero aplica requisitos tan estrictos que solo unos pocos han sido validados.
Para muchas organizaciones, requerir la certificación FIPS en FIPS 140-2 nivel 3 es un buen compromiso entre seguridad efectiva, conveniencia operativa y opciones en el mercado.
¿Por qué es importante FIPS 140-2?
Para los profesionales de la industria y de los gobiernos de Estados Unidos y Canadá, un proceso criptográfico puede utilizarse con seguridad para proteger información sensible cuando cumple requisitos FIPS PUB 140-2. La mayoría de agencias y organizaciones exigen que todo producto criptográfico utilizado para proteger información cumpla FIPS PUB 140-2. Los gobiernos de Estados Unidos (NIST) y Canadá (CSE) han adoptado la norma FIPS PUB 140-2. La sección “Aplicabilidad” de la norma FIPS 140-2 indica lo siguiente:
“La presente norma es aplicable a todas las agencias federales que utilizan sistemas de seguridad criptográficos para proteger la información sensible almacenada en las computadoras y los sistemas de telecomunicaciones (incluidos los sistemas de voz), según lo definido en la Sección 5131 de la Ley de Reforma de la Administración de la Tecnología de la Información de 1996, Ley Pública 104-106. Esta norma debe utilizarse para diseñar e implementar los módulos criptográficos que las agencias y departamentos federales operan o subcontratan. También pueden utilizarse módulos criptográficos aprobados para uso clasificado en lugar de módulos validados según esta norma. La adopción y uso de esta norma está disponible para organizaciones privadas y comerciales...”
¿Qué implica la validación?
Las pruebas de validación de la norma FIPS 140-2 se encuentran incluidas en el Programa de Validación de Módulos Criptográficos (CMVP), que ha sido elaborado por el Instituto Nacional de Estándares y Tecnología (NIST) y el Establecimiento de seguridad de comunicaciones (CSE), del Gobierno de Canadá. Todas las pruebas realizadas en el marco del CMVP se llevan a cabo en laboratorios de terceros acreditados por el Programa Nacional de Acreditación Voluntaria de Laboratorios (NVLAP) para los métodos de prueba FIPS 140-1 y FIPS 140-2. El vendedor presenta una muestra del producto junto con la documentación del diseño. El laboratorio ejecuta una serie de pruebas en el producto y examina la documentación para asegurarse de que fue diseñado de acuerdo con las reglas establecidas en la norma FIPS PUB 140-2.
Este proceso implica analizar los siguientes aspectos del producto y la documentación:
- Especificaciones del módulo criptográfico
- Puertos e interfaz del módulo criptográfico
- Funciones, servicios y autenticación
- Modelo de estado finito
- Seguridad física
- Entorno de funcionamiento
- Administración de claves critográficas
- Interferencia electromagnética/compatibilidad electromagnética (EMC/EMI)
- Autoverificación
- Garantía de diseño
- Mitigación de otros ataques
¿La validación se aplica al software?
Sí. La validación se aplica al módulo criptográfico en su conjunto. Cuando un ordenador ejecuta un módulo criptográfico de Entrust, se considera que el ordenador, el sistema operativo y el software criptográfico forman parte del módulo y se evalúan en su conjunto.
¿Qué aporta la validación?
Por la compleja naturaleza de los productos criptográficos, el usuario no puede sino confiar en que funcionan como se publicita y que protegen sus datos. La validación ofrece la tranquilidad de que un tercero ha examinado el producto en detalle y garantiza que cumple estrictos requisitos de seguridad.
¿Qué versiones cuentan con validación FIPS 140?
Entrust es pionero en adoptar la norma. Entrust Cryptographic Kernel V. 1.9 fue el primer producto validado. El 12 de octubre de 1995 recibió el certificado oficial en la National Information Systems Security Conference en Baltimore, Maryland. En el momento de redactar el presente artículo, Entrust cuenta con 21 módulos criptográficos enumerados en la lista de validación.
¿Cuánto tiempo tarda el proceso?
Normalmente, una validación puede tardar tres meses, un año o más tiempo. Ello depende en gran medida de la naturaleza del producto evaluado: hardware, firmware, software, complejidad, cantidad de algoritmos, lenguaje de programación, etc.
Información adicional sobre la norma FIPS 140-2
La norma FIPS 140-2, los requisitos de prueba derivados y los detalles del proceso de validación se encuentran en el sitio web CygnaCom Solutions.