Che cos'è lo standard FIPS 140-3?
Lo standard FIPS (Federal Information Processing Standard) 140-3 è il più recente punto di riferimento per la convalida dell'efficacia dell'hardware crittografico. Se un prodotto dispone di un certificato FIPS 140-3, sai che è stato testato e convalidato formalmente dai governi di Stati Uniti e Canada. Sebbene FIPS 140-3 sia uno standard federale statunitense/canadese relativamente nuovo, la conformità a FIPS 140-2 è stata ampiamente adottata in tutto il mondo, sia nel settore governativo sia in quello non governativo come parametro di sicurezza pratico e migliore pratica realistica.
Quali caratteristiche sono presenti nello standard FIPS 140-3 e non in quello FIPS 140-2?
FIPS 140-3 è l'ultima versione dello standard di sicurezza informatica del governo degli Stati Uniti utilizzato per convalidare i moduli crittografici. FIPS 140-3 si allinea con lo standard ISO/IEC 19790 e ha introdotto numerosi nuovi miglioramenti ai requisiti di sicurezza relativi allo standard FIPS 140-2, tra cui:
- L'indicatore di modalità operativa approvata è applicabile a tutti i livelli e deve essere riportato da ogni servizio offerto dal modulo.
- Requisiti di azzeramento più severi sui parametri di sicurezza critici (CSP).
- La complessità dei dati di autenticazione non può più essere applicata per via procedurale e deve essere applicata dal modulo.
- La sicurezza fisica di livello 3 richiede ora che il modulo rilevi e reagisca a tensioni o temperature fuori range (protezione dai guasti ambientali, o EFP) o, in alternativa, che sia sottoposto a test di guasto ambientale (environmental failure testing, EFT). Per il livello 4, ora sono richiesti EFP e protezione contro l'iniezione di guasti.
- Nuovi requisiti di autenticazione multifattoriale (MFA) per il livello 4.
- Nuovi requisiti di garanzia per il ciclo di vita di sviluppo del modulo che introducono prassi di sicurezza chiave come il test di modulo degli sviluppatori e l'uso di strumenti diagnostici di sicurezza automatizzati (ad esempio analisi statica)
- La sicurezza non invasiva è stata introdotta come requisito opzionale e comprenderà una guida per i test contro gli attacchi al canale laterale.
A partire dal 1 aprile 2022, FIPS PUB 140-3 Security Requirements for Cryptographic Modules sostituisce FIPS 140-2 per le nuove richieste.
I prodotti certificati FIPS 140-2 rimangono validi 5 anni dalla convalida. Per ulteriori informazioni, consulta la pagina di transizione del NIST.
FIPS 140-livello 3
Le organizzazioni utilizzano lo standard FIPS 140-3 per garantire che l'hardware selezionato soddisfi requisiti di sicurezza specifici. Lo standard di certificazione FIPS definisce quattro livelli di sicurezza qualitativi crescenti:
- Livello 1: Richiede apparecchiature di livello produttivo e algoritmi testati esternamente.
- Livello 2: Aggiunge requisiti per prove di manomissione fisiche e autenticazione basata sui ruoli.
- Livello 3: Aggiunge requisiti per la resistenza alle manomissioni fisiche e l'autenticazione basata sull'identità. Deve altresì essere presente una separazione fisica o logica tra le interfacce in base alle quali "parametri di sicurezza critici" entrano ed escono dal modulo. Le chiavi private possono entrare o uscire solo in forma crittografata. Il livello 3 richiede ora che il modulo rilevi e reagisca a tensioni o temperature fuori range (protezione dai guasti ambientali, o EFP) o, in alternativa, che sia sottoposto a test di guasto ambientale (environmental failure testing, EFT).
- Livello 4: Questo livello rende i requisiti di sicurezza fisica più rigorosi, richiedendo la capacità di essere a prova di manomissione, cancellando il contenuto del dispositivo se rileva varie forme di attacco ambientale. Sono richiesti EFP e protezione contro l'iniezione di guasti, nonché l'autenticazione multifattoriale.
Per molte organizzazioni, richiedere la certificazione FIPS 140-2 e 140-3 livello 3 è un buon compromesso tra sicurezza efficace, praticità operativa e scelta sul mercato.
Quando lo standard FIPS 140-3 è stato pubblicato nel 2019, è stato annunciato un periodo di decadenza di cinque anni per i certificati FIPS 140-2.
Domande frequenti
Che cos'è lo standard FIPS 140-3?
FIPS 140-3 è l'attuale standard federale statunitense per la sicurezza dei moduli crittografici e sostituisce lo standard FIPS 140-2. È conforme agli standard internazionali ISO 19790 e include requisiti di test più rigorosi.
Quando è obbligatorio lo standard FIPS 140-3?
Lo standard FIPS 140-3 è richiesto per qualsiasi prodotto crittografico utilizzato dalle agenzie federali statunitensi, in particolare quelle che trattano informazioni sensibili ma non classificate (SBU). Sebbene non sia richiesto dalla legge, le organizzazioni che operano in settori regolamentati come quello della sanità e della finanza spesso utilizzano la crittografia secondo lo standard FIPS 140-3 per rimanere conformi e proteggere le informazioni sensibili.
Quando è entrato in vigore lo standard FIPS 140-3?
Lo standard FIPS 140-3 è stata approvata nel marzo 2019 ed è entrata in vigore il 22 settembre 2019. Tuttavia, vi è stato un periodo di transizione e lo standard FIPS 140-2 è rimasto attivo per le nuove convalide fino al 1° aprile 2022, quando il FIPS 140-3 è diventato obbligatorio per tutte le nuove certificazioni dei moduli crittografici.