Passa al contenuto principale
Immagine
motivo esagonale viola

Federal Information Processing Standard (FIPS)

Lo standard FIPS (Federal Information Processing Standard) 140-2 è il punto di riferimento per la convalida dell'efficacia dell'hardware crittografico. Se un prodotto dispone di un certificato FIPS 140-2, sai che è stato testato e convalidato formalmente dai governi di Stati Uniti e Canada. Sebbene FIPS 140-2 sia uno standard federale statunitense/canadese, la conformità a FIPS 140-2 è stata ampiamente adottata in tutto il mondo sia nel settore governativo che in quello non governativo come parametro di sicurezza pratico e migliore pratica realistica.

FIPS 140-3 è l'ultima versione dello standard di sicurezza informatica del governo degli Stati Uniti utilizzato per convalidare i moduli crittografici. A partire dal 1 aprile 2022, FIPS PUB 140-3 Security Requirements for Cryptographic Modules sostituisce FIPS 140-2 per le nuove richieste.

I prodotti certificati FIPS 140-2 rimangono validi 5 anni dalla convalida. Per ulteriori informazioni, consulta la pagina di transizione del NIST.

FIPS 140-2 livello 3

Le organizzazioni utilizzano lo standard FIPS 140-2 per garantire che l'hardware selezionato soddisfi requisiti di sicurezza specifici. Lo standard di certificazione FIPS definisce quattro livelli di sicurezza qualitativi crescenti:

  • Livello 1: Richiede apparecchiature di livello produttivo e algoritmi testati esternamente.
  • Livello 2: Aggiunge requisiti per prove di manomissione fisiche e autenticazione basata sui ruoli. Le implementazioni software devono essere eseguite su un sistema operativo approvato per Common Criteria di livello EAL2.
  • Livello 3: Aggiunge requisiti per la resistenza alle manomissioni fisiche e l'autenticazione basata sull'identità. Deve altresì essere presente una separazione fisica o logica tra le interfacce in base alle quali "parametri di sicurezza critici" entrano ed escono dal modulo. Le chiavi private possono entrare o uscire solo in forma crittografata.
  • Livello 4: Questo livello rende i requisiti di sicurezza fisica più rigorosi, richiedendo la capacità di essere a prova di manomissione, cancellando il contenuto del dispositivo se rileva varie forme di attacco ambientale.

Lo standard FIPS 140-2 consente tecnicamente di implementare solo software a livello 3 o 4, ma applica requisiti così severi che pochissimi ne sono stati convalidati.

Per molte organizzazioni, richiedere la certificazione FIPS 140-2 livello 3 è un buon compromesso tra sicurezza efficace, praticità operativa e scelta sul mercato.

Perché FIPS 140-2 è importante?

I professionisti della sicurezza informatica dei governi federali degli Stati Uniti e del Canada, nonché del settore, riconoscono che un prodotto crittografico può essere utilizzato in modo sicuro per proteggere informazioni sensibili e non classificate quando il prodotto viene convalidato in base ai requisiti di sicurezza FIPS PUB 140-2. La maggior parte delle organizzazioni e delle agenzie impone che qualsiasi nuovo prodotto crittografico utilizzato per proteggere le proprie informazioni venga convalidato a FIPS PUB 140-2. Sia il governo federale degli Stati Uniti (NIST) che quello canadese (CSE) hanno adottato lo standard FIPS PUB 140-2. La sezione "Applicabilità" di FIPS 140-2 afferma che:

“Questo standard è applicabile a tutte le agenzie federali che utilizzano sistemi di sicurezza basati su crittografia per proteggere le informazioni sensibili nei sistemi informatici e di telecomunicazione (compresi i sistemi vocali) come definito nell’Articolo 5131 dell’Information Technology Management Reform Act del 1996, Public Law 104-106. Questo standard deve essere utilizzato nella progettazione e implementazione di moduli crittografici che i dipartimenti e le agenzie federali gestiscono o che vengono gestiti per loro su contratto. I moduli crittografici approvati per l'uso classificato possono essere utilizzati al posto dei moduli che sono stati convalidati rispetto a questo standard. L’adozione e l’uso di questo standard è disponibile per le organizzazioni private e commerciali... “

Cosa comporta la convalida?

I test di convalida per FIPS 140-2 rientrano nel programma di convalida del modulo crittografico (CMVP), stabilito dal NIST e dal CSE (Communications Security Establishment) del governo del Canada. Tutti i test nell'ambito del CMVP sono gestiti da laboratori di terze parti accreditati nell'ambito del National Voluntary Laboratory Accreditation Program (NVLAP) per i metodi di test per gli standard FIPS 140-1 e FIPS 140-2. Il fornitore invia un campione del prodotto insieme alla documentazione di progettazione. Il laboratorio esegue una serie di test sul prodotto ed esamina la documentazione per assicurarsi che esso sia stato progettato secondo le regole stabilite nel FIPS PUB 140-2.

Questo processo prevede l'esame dei seguenti aspetti del prodotto e della documentazione:

  • Specifiche del modulo crittografico
  • Porte e interfacce del modulo crittografico
  • Ruoli, servizi e autenticazione
  • Modello a stati finiti
  • Sicurezza fisica
  • Ambiente operativo
  • Gestione delle chiavi di crittografia
  • Interferenza elettromagnetica/compatibilità elettromagnetica (EMC/EMI)
  • Auto-test
  • Progettare la garanzia
  • Mitigazione di altri attacchi

La convalida si applica al software?

Sì. La convalida si applica all'intero modulo crittografico. Nel caso di un PC che esegue il programma del modulo crittografico Entrust, il PC stesso, il sistema operativo e il software crittografico sono tutti considerati parte del modulo e vengono testati insieme.

Che valore offre la convalida?

A causa della natura complessa dei prodotti crittografici, un utente tradizionalmente ha poca scelta se non quella di fidarsi che il prodotto funzioni come pubblicizzato e stia effettivamente proteggendo i suoi dati in modo sicuro. La convalida offre la comodità che una terza parte indipendente esamini il prodotto in dettaglio e ne garantisca la conformità a severi requisiti di sicurezza.

Quali versioni hanno la convalida FIPS 140?

Entrust è uno dei pionieri dell'adozione di questo standard. Entrust Cryptographic Kernel V. 1.9 è stato il primo prodotto mai convalidato, il certificato ufficiale è stato assegnato il 12 ottobre 1995 alla Conferenza nazionale sui sistemi di sicurezza informatica (National Information Systems Security Conference) tenutasi a Baltimora, Maryland. Al momento in cui è stato scritto l’articolo, Entrust dispone di 21 moduli crittografici elencati nell'elenco di convalida.

Quanto tempo richiede il processo?

In genere, una convalida può richiedere da tre mesi a un anno oppure più tempo. Ciò dipende molto dalla natura del prodotto valutato (es. Hardware, firmware o software, livello di complessità, numero di algoritmi, linguaggio di programmazione, ecc.).

Ulteriori informazioni su FIPS 140-2

Lo standard FIPS 140-2, i requisiti dei test derivati e i dettagli del processo di convalida si possono trovare sul sito web di CygnaCom Solutions.