- 30/30/2020
- 4 minuty na čtení
-
-
r
-
standardní přehled FIPS 140-2
Publikace Federal Information Processing Standard (FIPS) 140-2 je americký vládní standard, který definuje minimální bezpečnostní požadavky na kryptografické moduly v produktech informačních technologií, jak jsou definovány v oddíle 5131 zákona o reformě správy informačních technologií z roku 1996.
Cryptographic Module Validation Program (CMVP), společné úsilí amerického Národního institutu pro standardy a technologie (NIST) a Kanadského centra pro kybernetickou bezpečnost (CCCS), ověřuje kryptografické moduly podle standardu Security Requirements for Cryptographic Modules (tj. , FIPS 140-2) a související kryptografické standardy FIPS. Bezpečnostní požadavky FIPS 140-2 pokrývají 11 oblastí souvisejících s návrhem a implementací kryptografického modulu. Laboratoř informačních technologií NIST provozuje související program, který v modulu ověřuje kryptografické algoritmy schválené FIPS.
Přístup společnosti Microsoft k ověřování FIPS 140-2
Společnost Microsoft udržuje aktivní závazek ke splnění 140-2 požadavky, které mají ověřené kryptografické moduly od založení standardu v roce 2001. Společnost Microsoft ověřuje své kryptografické moduly v rámci Programu ověřování kryptografických modulů (CMVP) podle Národního institutu pro standardy a technologie (NIST). Tyto kryptografické moduly používá více produktů Microsoft, včetně mnoha cloudových služeb.
Technické informace o kryptografických modulech Microsoft Windows, zásady zabezpečení pro každý modul a katalog podrobností o certifikátu CMVP najdete v části Windows a Windows Obsah serveru FIPS 140-2.
In-scope cloudové služby společnosti Microsoft
Zatímco aktuální implementační pokyny CMVP FIPS 140-2 vylučují ověření FIPS 140-2 pro samotnou cloudovou službu; poskytovatelé cloudových služeb se mohou rozhodnout získat a provozovat kryptografické moduly ověřené FIPS 140 pro výpočetní prvky, které tvoří jejich cloudovou službu. Online služby společnosti Microsoft, které zahrnují komponenty, které byly ověřeny FIPS 140-2, zahrnují mimo jiné:
- Azure a Azure Government
- Dynamics 365 and Dynamics 365 Government
- Office 365, Office 365 US Government a Office 365 US Government Defense
Často kladené otázky
Jaký je rozdíl mezi „FIPS 140 Validated“ a „Vyhovuje standardu FIPS 140“?
„Ověřeno FIPS 140“ znamená, že kryptografický modul nebo produkt, který modul vloží, byl ověřen („certifikován“) CMVP jako splňující požadavky FIPS 140-2 . „Vyhovuje standardu FIPS 140“ je průmyslový termín pro produkty IT, které se pro kryptografické funkce spoléhají na produkty ověřené FIPS 140.
Kdy společnost Microsoft provede ověření FIPS 140?
Kadence spuštění ověření modulu je v souladu s aktualizacemi funkcí Windows 10 a Windows Server. Jak se vyvíjel softwarový průmysl, operační systémy se vydávají častěji, s měsíčními aktualizacemi softwaru. Společnost Microsoft provádí ověřování pro vydání funkcí, ale mezi vydáními se snaží minimalizovat změny na kryptografické moduly.
Které počítače jsou zahrnuty do ověření FIPS 140?
Microsoft ověřuje kryptografické moduly na reprezentativním vzorku hardwarových konfigurací se systémem Windows 10 a Windows Server. Je běžné průmyslová praxe přijmout toto ověření FIPS 140-2, když prostředí používá hardware, který je podobný vzorkům použitým pro proces ověřování.
Na webu NIST je uvedeno mnoho modulů. Jak mohu víte, který z nich platí pro moji agenturu?
Pokud se od vás požaduje použití kryptografických modulů ověřených prostřednictvím FIPS 140-2, musíte ověřit, zda se vámi používaná verze objeví na seznamu ověření. CMVP a Microsoft udržují seznam ověřených kryptografických modulů uspořádaných podle vydání produktu spolu s pokyny pro identifikaci, které moduly jsou nainstalovány v systému Windows. Další informace o konfiguraci systémů, aby vyhovovaly, najdete v obsahu FIPS 140-2 pro Windows a Windows Server.
Co znamená „Při provozu v režimu FIPS“ na certifikátu?
Toto upozornění informuje čtenáře, že je nutné dodržovat požadovaná pravidla konfigurace a zabezpečení, aby bylo možné používat kryptografický modul způsobem, který je v souladu s jeho zásadami zabezpečení FIPS 140-2. Každý modul má vlastní bezpečnostní politiku – přesnou specifikaci bezpečnostních pravidel, podle kterých bude fungovat – a využívá schválené kryptografické algoritmy, správu kryptografických klíčů a techniky autentizace. Pravidla zabezpečení jsou definována v zásadách zabezpečení pro každý modul.Další informace, včetně odkazů na zásady zabezpečení pro každý modul ověřený prostřednictvím CMVP, najdete v obsahu FIPS 140-2 pro Windows a Windows Server.
Vyžaduje FedRAMP ověření FIPS 140-2?
Ano, Federální program pro správu rizik a autorizací (FedRAMP) se opírá o základní úrovně kontroly definované v NIST SP 800-53 revize 4, včetně kryptografické ochrany SC-13, která vyžaduje použití kryptografie ověřené FIPS nebo kryptografie schválené NSA.
Jak Microsoft Azure podporuje FIPS 140-2?
Azure je postavena na kombinaci hardwaru, komerčně dostupných operačních systémů (Linux a Windows) a specifické verze Azure pro Windows . Prostřednictvím Microsoft Security Development Lifecycle (SDL) používají všechny služby Azure pro zabezpečení dat schválené algoritmy FIPS 140-2, protože operační systém používá při provozu v cloudu hyper měřítka schválené algoritmy FIPS 140-2.
Can Používám dodržování standardu FIPS 140-2 společností Microsoft v certifikačním procesu mé agentury?
Aby bylo vyhověno standardu FIPS 140-2, musí být váš systém nakonfigurován tak, aby fungoval v režimu provozu schváleném FIPS, což zahrnuje zajištění kryptografický modul používá pouze algoritmy schválené FIPS. Další informace o konfiguraci systémů, aby vyhovovaly, najdete v obsahu FIPS 140-2 pro Windows a Windows Server.
Jaký je vztah mezi FIPS 140-2 a společnými kritérii?
Tyto jsou dva samostatné bezpečnostní standardy s různými, ale doplňkovými účely. FIPS 140-2 je navržen speciálně pro ověřování softwarových a hardwarových kryptografických modulů, zatímco Common Criteria je navržena pro hodnocení bezpečnostních funkcí v IT softwaru a hardwarových produktech. Hodnocení Common Criteria se často spoléhá na ověření FIPS 140-2, aby byla zajištěna správná implementace základních kryptografických funkcí.