- 11/30/2020
- 読むのに4分
-
-
r
-
FIPS140-2標準の概要
連邦情報処理標準（FIPS）Publication 140-2は、1996年の情報技術管理改革法のセクション5131で定義されているように、情報技術製品の暗号化モジュールの最小セキュリティ要件を定義する米国政府標準です。
米国国立標準技術研究所（NIST）とカナダサイバーセキュリティセンター（CCCS）の共同の取り組みである暗号モジュール検証プログラム（CMVP）は、暗号モジュールを暗号モジュールのセキュリティ要件標準（つまり、 、FIPS 140-2）および関連するFIPS暗号化標準。 FIPS 140-2のセキュリティ要件は、暗号化モジュールの設計と実装に関連する11の領域をカバーしています。 NIST Information Technology Laboratoryは、モジュール内のFIPS承認の暗号化アルゴリズムを検証する関連プログラムを運用しています。
FIPS140-2検証に対するMicrosoftのアプローチ
Microsoftは、 140-2要件、2001年の標準の開始以来、暗号化モジュールを検証しました。マイクロソフトは、米国国立標準技術研究所（NIST）の暗号化モジュール検証プログラム（CMVP）の下で暗号化モジュールを検証します。多くのクラウドサービスを含む複数のMicrosoft製品が、これらの暗号化モジュールを使用しています。
Microsoft Windows暗号化モジュールの技術情報、各モジュールのセキュリティポリシー、およびCMVP証明書の詳細のカタログについては、WindowsとWindowsを参照してください。サーバーFIPS140-2コンテンツ。
Microsoftのスコープ内クラウドサービス
現在のCMVPFIPS 140-2実装ガイダンスでは、クラウドサービス自体のFIPS140-2検証が除外されています。クラウドサービスプロバイダーは、クラウドサービスを構成するコンピューティング要素用のFIPS140検証済み暗号化モジュールを取得して運用することを選択できます。 FIPS 140-2で検証されたコンポーネントを含むMicrosoftオンラインサービスには、特に次のものが含まれます。
- AzureおよびAzureGovernment
- Dynamics365およびDynamics365 Government
- Office 365、Office 365米国政府、およびOffice365米国政府防衛
よくある質問
「FIPS140検証済み」と「FIPS140検証済み」の違いは何ですか。 「FIPS140準拠」？
「FIPS140検証済み」とは、暗号化モジュール、またはモジュールを組み込んだ製品が、CMVPによってFIPS 140-2要件を満たしていることが検証（「認定」）されていることを意味します。 。 「FIPS140準拠」は、暗号化機能についてFIPS140検証済み製品に依存するIT製品の業界用語です。
MicrosoftはいつFIPS140検証を実施しますか？
開始のリズムモジュールの検証は、Windows10およびWindowsServerの機能の更新に対応しています。ソフトウェア業界が発展するにつれて、オペレーティングシステムはより頻繁にリリースされ、毎月ソフトウェアが更新されます。マイクロソフトは機能のリリースの検証を行いますが、リリースの合間には変更を最小限に抑えようとします
FIPS 140検証に含まれるコンピューターはどれですか？
Microsoftは、Windows10およびWindowsServerを実行しているハードウェア構成の代表的なサンプルで暗号化モジュールを検証します。これは一般的なことです。環境がハードウェアを使用する場合にこのFIPS140-2検証を受け入れる業界慣行。これは、検証プロセスに使用されるサンプルと同様です。
NISTWebサイトには多くのモジュールがリストされています。どうすればよいですか。どちらが私の代理店に適用されるかわかりますか？
FIPS 140-2で検証された暗号化モジュールを使用する必要がある場合は、使用するバージョンが検証リストに表示されていることを確認する必要があります。 CMVPとMicrosoftは、検証済みの暗号化モジュールのリストを製品リリースごとに整理し、Windowsシステムにインストールされているモジュールを特定する手順を示しています。準拠するようにシステムを構成する方法の詳細については、WindowsおよびWindows Server FIPS140-2のコンテンツを参照してください。
証明書で「FIPSモードで操作する場合」とはどういう意味ですか？
この警告は、FIPS 140-2セキュリティポリシーと一致する方法で暗号化モジュールを使用するには、必要な構成とセキュリティルールに従う必要があることを読者に通知します。各モジュールには独自のセキュリティポリシー（動作するセキュリティルールの正確な仕様）があり、承認された暗号化アルゴリズム、暗号化キー管理、および認証技術を採用しています。セキュリティルールは、各モジュールのセキュリティポリシーで定義されています。CMVPを介して検証された各モジュールのセキュリティポリシーへのリンクなどの詳細については、WindowsおよびWindows Server FIPS140-2のコンテンツを参照してください。
FedRAMPにはFIPS140-2検証が必要ですか？
はい。連邦リスクおよび承認管理プログラム（FedRAMP）は、FIPS検証済み暗号化またはNSA承認済み暗号化の使用を義務付けるSC-13暗号化保護を含むNIST SP800-53リビジョン4で定義された制御ベースラインに依存しています。
MicrosoftAzureはFIPS140-2をどのようにサポートしますか？
Azureは、ハードウェア、市販のオペレーティングシステム（LinuxおよびWindows）、およびAzure固有のバージョンのWindowsを組み合わせて構築されています。 。ハイパースケールクラウドでの運用中にオペレーティングシステムがFIPS140-2承認済みアルゴリズムを使用するため、Microsoft Security Development Lifecycle（SDL）を通じて、すべてのAzureサービスはデータセキュリティにFIPS140-2承認済みアルゴリズムを使用します。
Can代理店の認証プロセスでMicrosoftのFIPS140-2への準拠を使用していますか？
FIPS 140-2に準拠するには、システムをFIPS承認の操作モードで実行するように構成する必要があります。暗号化モジュールは、FIPS承認のアルゴリズムのみを使用します。準拠するようにシステムを構成する方法の詳細については、WindowsおよびWindows Server FIPS140-2のコンテンツを参照してください。
FIPS140-2とコモンクライテリアの関係は何ですか？
これらは、目的は異なりますが補完的な2つの別個のセキュリティ標準です。 FIPS 140-2は、ソフトウェアとハードウェアの暗号化モジュールを検証するために特別に設計されていますが、Common Criteriaは、ITソフトウェアとハードウェア製品のセキュリティ機能を評価するために設計されています。コモンクライテリアの評価は、基本的な暗号化機能が適切に実装されていることを保証するために、FIPS140-2検証に依存することがよくあります。