- 30.11.2020
- 4 minuuttia aikaa lukea
-
-
r
-
FIPS 140-2 -standardin yleiskatsaus
Federal Information Processing Standard (FIPS) -julkaisu 140-2 on Yhdysvaltojen hallituksen standardi, joka määrittelee tietotekniikkatuotteiden salausmoduulien turvallisuuden vähimmäisvaatimukset, kuten vuoden 1996 tietotekniikan hallinnan uudistuslain osassa 5131 määritellään. p> Yhdysvaltojen kansallisen standardointi- ja teknologiainstituutin (NIST) ja Kanadan kyberturvallisuuskeskuksen (CCCS) yhteinen salausmoduulien validointiohjelma (CMVP) validoi salausmoduulit salausmoduulien turvallisuusvaatimusten (ts. , FIPS 140-2) ja siihen liittyvät FIPS-salausstandardit. FIPS 140-2 -turvallisuusvaatimukset kattavat 11 aluetta, jotka liittyvät salausmoduulin suunnitteluun ja toteuttamiseen. NIST-tietotekniikkalaboratorio käyttää siihen liittyvää ohjelmaa, joka vahvistaa FIPS-hyväksytyt salausalgoritmit moduulissa.
Microsoftin lähestymistapa FIPS 140-2 -vahvistukseen
Microsoft sitoutuu aktiivisesti sitoutumaan 140-2 vaatimukset, joilla on validoidut salausmoduulit standardin perustamisesta lähtien vuonna 2001. Microsoft validoi salausmoduulit National Institute of Standards and Technology (NIST) -salaustekniikan moduulien validointiohjelman (CMVP) mukaisesti. Useat Microsoft-tuotteet, mukaan lukien monet pilvipalvelut, käyttävät näitä salausmoduuleja.
Katso tekniset tiedot Microsoft Windowsin salausmoduuleista, kunkin moduulin tietoturvakäytännöstä ja CMVP-varmenteiden luettelosta Windows ja Windows Palvelimen FIPS 140-2 -sisältö.
Microsoftin sisäiset pilvipalvelut
Vaikka nykyinen CMVP FIPS 140-2 -toteutusohje sulkee pois itse pilvipalvelun FIPS 140-2 -tarkistuksen; pilvipalvelujen tarjoajat voivat valita, hankkivatko he FIPS-validoidut salausmoduulit ja käyttävätkö niitä pilvipalvelunsa sisältäviin laskentaelementteihin. Microsoftin verkkopalveluihin, jotka sisältävät komponentteja, jotka on validoitu FIPS 140-2: n, kuuluvat muun muassa:
- Azure ja Azure Government
- Dynamics 365 ja Dynamics 365 Government
- Office 365, Office 365 US Government ja Office 365 US Government Defense
Usein kysytyt kysymykset
Mitä eroa on ”FIPS 140 Vahvistettu” -toiminnon ja ”FIPS 140 -yhteensopiva”?
”FIPS 140 -validoitu” tarkoittaa, että CMVP on validoinut (”varmentanut”) salausmoduulin tai moduulin upottavan tuotteen vastaavaksi FIPS 140-2 -vaatimuksiin . ”FIPS 140 -yhteensopiva” on alan termi tietotekniikkatuotteille, jotka luottavat FIPS 140 -validoituihin tuotteisiin salaustoiminnoissa.
Milloin Microsoft suorittaa FIPS 140 -vahvistuksen?
Käynnistyspolkimet moduulin vahvistus on yhdenmukainen Windows 10: n ja Windows Serverin ominaisuuspäivitysten kanssa. Ohjelmistoteollisuuden kehittyessä käyttöjärjestelmiä vapautetaan useammin kuukausittaisten ohjelmistopäivitysten avulla. Microsoft suorittaa varmennuksen ominaisuuksien julkaisuista, mutta pyrkii julkaisujen välissä minimoimaan muutokset salausmoduuleihin.
Mitkä tietokoneet sisältyvät FIPS 140 -vahvistukseen?
Microsoft vahvistaa salausmoduulit edustavalla näytteellä laitteistokokoonpanoja, joissa on Windows 10 ja Windows Server. Se on yleistä alan käytäntö hyväksyä tämä FIPS 140-2 -vahvistus, kun ympäristö käyttää laitteistoa, joka on samanlainen kuin validointiprosessissa käytetyt näytteet.
NIST-verkkosivustolla on useita moduuleja. tiedätkö kumpi koskee virastoni?
Jos sinun on käytettävä FIPS 140-2: n kautta validoituja salausmoduuleja, sinun on varmistettava, että käyttämäsi versio näkyy validointiluettelossa. CMVP ja Microsoft ylläpitävät luetteloa validoiduista salausmoduuleista, järjestettyinä tuotteen julkaisun mukaan, sekä ohjeet Windows-järjestelmään asennettujen moduulien tunnistamiseksi. Lisätietoja järjestelmien yhteensopivuuden määrittämisestä on Windowsin ja Windows Server FIPS 140-2 -sisällössä.
Mitä varmenteessa tarkoittaa ”Käytettäessä FIPS-tilassa”?
Tämä huomautus ilmoittaa lukijalle, että vaadittuja kokoonpano- ja suojaussääntöjä on noudatettava, jotta salausmoduulia voidaan käyttää FIPS 140-2 -tietoturvakäytännön mukaisella tavalla. Jokaisella moduulilla on oma suojauskäytäntönsä – tarkka erittely suojaussäännöistä, joiden mukaisesti se toimii – ja se käyttää hyväksyttyjä salausalgoritmeja, salausavainten hallintaa ja todennustekniikoita. Suojaussäännöt on määritelty kunkin moduulin suojauskäytännössä.Lisätietoja ja linkit CMVP: n kautta validoitujen moduulien tietoturvakäytäntöön on Windowsin ja Windows Server FIPS 140-2 -sisällössä.
Edellyttääkö FedRAMP FIPS 140-2 -tarkistusta?
Kyllä, Federal Risk and Authorization Management Program (FedRAMP) perustuu NIST SP 800-53 Revision 4: n määrittelemiin valvonnan perusviivoihin, mukaan lukien SC-13 Cryptographic Protection, joka edellyttää FIPS-validoidun salauksen tai NSA: n hyväksymän salauksen käyttöä.
Miten Microsoft Azure tukee FIPS 140-2: tä?
Azure on rakennettu yhdistelmänä laitteistoja, kaupallisesti saatavilla olevia käyttöjärjestelmiä (Linux ja Windows) ja Azure-kohtaista Windows-versiota . Microsoftin tietoturvakehityksen elinkaaren (SDL) kautta kaikki Azure-palvelut käyttävät FIPS 140-2: n hyväksymiä algoritmeja tietoturvaan, koska käyttöjärjestelmä käyttää FIPS 140-2: n hyväksymiä algoritmeja toimiessaan hypermittauspilvessä.
Voi Käytän Microsoftin noudattamaa FIPS 140-2: ta toimistoni sertifiointiprosessissa?
Jotta voisit noudattaa FIPS 140-2: tä, järjestelmäsi on määritettävä toimimaan FIPS: n hyväksymässä toimintatilassa, johon kuuluu myös sen varmistaminen, että salausmoduuli käyttää vain FIPS-hyväksyttyjä algoritmeja. Lisätietoja järjestelmien asettamisesta yhteensopiviksi on Windowsin ja Windows Server FIPS 140-2 -sisällössä.
Mikä on FIPS 140-2: n ja Common Criterian välinen suhde?
Nämä ovat kaksi erillistä turvallisuusstandardia, joilla on erilaiset, mutta toisiaan täydentävät tarkoitukset. FIPS 140-2 on suunniteltu erityisesti ohjelmistojen ja laitteistojen salausmoduulien validointiin, kun taas Common Criteria on suunniteltu arvioimaan IT-ohjelmistojen ja laitteistotuotteiden tietoturvatoimintoja. Common Criteria -arvioinnit tukeutuvat usein FIPS 140-2 -vahvistuksiin, jotta voidaan varmistaa, että salauksen perustoiminnot toteutetaan oikein.