Federal Information Processing Standard (FIPS)

Lo standard FIPS (Federal Information Processing Standard) 140-2 è il punto di riferimento per la convalida dell'efficacia dell'hardware crittografico. Se un prodotto dispone di un certificato FIPS 140-2, sai che è stato testato e convalidato formalmente dai governi di Stati Uniti e Canada. Sebbene FIPS 140-2 sia uno standard federale statunitense/canadese, la conformità a FIPS 140-2 è stata ampiamente adottata in tutto il mondo sia nel settore governativo che in quello non governativo come parametro di sicurezza pratico e migliore pratica realistica.

FIPS 140-2 livello 3

Le organizzazioni utilizzano lo standard FIPS 140-2 per garantire che l'hardware selezionato soddisfi requisiti di sicurezza specifici. Lo standard di certificazione FIPS definisce quattro livelli di sicurezza qualitativi crescenti:

  • Livello 1: Richiede apparecchiature di livello produttivo e algoritmi testati esternamente.
  • Livello 2: Aggiunge requisiti per prove di manomissione fisiche e autenticazione basata sui ruoli. Le implementazioni software devono essere eseguite su un sistema operativo approvato per Common Criteria di livello EAL2.
  • Livello 3: Aggiunge requisiti per la resistenza alle manomissioni fisiche e l'autenticazione basata sull'identità. Deve altresì essere presente una separazione fisica o logica tra le interfacce in base alle quali "parametri di sicurezza critici" entrano ed escono dal modulo. Le chiavi private possono entrare o uscire solo in forma crittografata.
  • Livello 4: Questo livello rende i requisiti di sicurezza fisica più rigorosi, richiedendo la capacità di essere a prova di manomissione, cancellando il contenuto del dispositivo se rileva varie forme di attacco ambientale.

Lo standard FIPS 140-2 consente tecnicamente implementazioni solo software a livello 3 o 4, ma applica requisiti così severi che nessuno è stato convalidato.

Per molte organizzazioni, richiedere la certificazione FIPS a FIPS 140 livello 3 è un buon compromesso tra sicurezza efficace, praticità operativa e scelta sul mercato.