מה זה FIPS 140-3?
FIPS 140-3 או Federal Information Processing Standard Publication 140-3 הוא תקן אבטחה שהוקם על ידי
המכון הלאומי לתקנים וטכנולוגיה (NIST) בארצות הברית.
הוא מפרט את הדרישות עבור מודולים קריפטוגרפיים, המשמשים להגנה על מידע רגיש במערכות מחשב וטלקומוניקציה.
FIPS 140-3 מגדיר את הקריטריונים שבהם מודולים קריפטוגרפיים חייבים לעמוד כדי להבטיח את אבטחתם ואמינותם.
קריטריונים אלה מכסים היבטים שונים כגון אלגוריתמים קריפטוגרפיים, ניהול מפתחות, אבטחה פיזית ושלמות תוכנה/קושחה.
תאימות עם FIPS 140-3 נדרשת בסוכנויות ממשלתיות וארגונים אחרים המטפלים במידע רגיש
כדי להבטיח שמערכות ההצפנה שבהן הם משתמשים עומדות בסטנדרטים גבוהים של אבטחה ואמינות.
FIPS 140-3 החליף את תקן FIPS 140-2 הישן יותר, וסיפק דרישות מעודכנות לטיפול
באיומי אבטחה וטכנולוגיות מתפתחות.
איך FIPS 140-3 עובד?
FIPS 140-3 פועל על ידי הקמת קבוצה של דרישות אבטחה קפדניות ונהלי בדיקה עבור מודולים קריפטוגרפיים.
להלן סקירה של אופן הפעולה של התהליך:
פיתוח והטמעה : מפתחי מודול קריפטוגרפי מתכננים ומיישמים את המוצרים שלהם בהתאם לדרישות האבטחה המפורטות
בתקן FIPS 140-3.
זה כרוך בשילוב אלגוריתמים קריפטוגרפיים מאובטחים, הטמעת שיטות ניהול מפתח חזקות, הבטחת אבטחה פיזית של המודול
והתייחסות לשיקולי אבטחה רלוונטיים אחרים.
בדיקה והערכה : לאחר פיתוח מודול קריפטוגרפי, הוא עובר בדיקה והערכה על ידי מעבדות בדיקה מוסמכות.
מעבדות אלו עורכות הערכות מקיפות כדי לוודא שהמודול עומד בדרישות האבטחה המפורטות ב- FIPS 140-3.
בדיקה כוללת בדיקות פונקציונליות, אימות אלגוריתמים, בדיקות חדירה וניתוח פגיעות.
תהליך אימות : מעבדת הבדיקה מוסרת את תוצאות ההערכה שלהן לתוכנית אימות המודול הקריפטוגרפי (CMVP) של NIST לבדיקה.
NIST מעריך את דוחות הבדיקה והתיעוד כדי לקבוע אם המודול ההצפנה עומד בקריטריונים לתאימות FIPS 140-3.
אם המודול עונה על כל הדרישות, NIST מנפיק תעודת אימות המציינת את תאימותו ל- FIPS 140-3.
הסמכה ורישום : לאחר אימות מוצלח, מודול ההצפנה מאושר כתואם FIPS 140-3, ותעודת האימות שלו מתפרסמת באתר CMVP.
ארגונים יכולים לעיין ברשימת CMVP של מודולים קריפטוגרפיים מאומתים כדי לאמת תאימות
ולבחור מודולים מתאימים לצרכי האבטחה שלהם.
תחזוקה ועדכונים תקופתיים : מודולים תואמי FIPS 140-3 כפופים לתחזוקה ועדכונים תקופתיים כדי לטפל באיומי אבטחה,
נקודות תורפה והתקדמות בטכנולוגיה.
דבר זה כולל אימות מחדש של המודול מול גרסאות מעודכנות של תקן FIPS או הנחיות משלימות שסופק על ידי NIST.
תהליך FIPS 140-3 מבטיח כי מודולים קריפטוגרפיים עומדים בדרישות אבטחה מחמירות ועוברים בדיקות יסודיות
כדי לספק אבטחה ומהימנות בהגנה על מידע ותקשורת רגישים
מי צריך FIPS 140-3?
ישויות ותעשיות שונות דורשות עמידה בתקני FIPS 140-3 עבור מודולים קריפטוגרפיים.
אלו כוללים:
סוכנויות ממשלתיות : סוכנויות ממשלתיות פדרליות, מדינתיות ומקומיות מחייבות להשתמש במודולים קריפטוגרפיים
תואמי FIPS 140-3 כדי להגן על מידע ותקשורת ממשלתית רגישים.
ארגוני צבא והגנה : ארגוני צבא והגנה דורשים מודולים קריפטוגרפיים תואמי FIPS 140-3 כדי להבטיח את האבטחה
והשלמות של תקשורת, נתונים ומידע רגיש אחר במערכות ובפעולות הגנה.
מוסדות פיננסיים : בנקים, חברות שירותים פיננסיים ומעבדי תשלומים משתמשים במודולים קריפטוגרפיים כדי לאבטח עסקאות פיננסיות,
להגן על נתוני לקוחות ולהבטיח עמידה בתקנות התעשייה כגון תקן אבטחת המידע של תעשיית כרטיסי התשלום (PCI DSS).
ספקי שירותי בריאות וארגונים : ספקי שירותי בריאות, בתי חולים וארגוני בריאות משתמשים במודולים קריפטוגרפיים
כדי לאבטח רשומות בריאות אלקטרוניות (EHR), להגן על סודיות המטופלים ולציית לתקנות כגון חוק הניידות והאחריות
של ביטוח הבריאות (HIPAA).
מפעילי תשתית קריטית : מפעילי תשתית קריטית כגון מערכות אנרגיה, תחבורה, טלקומוניקציה ומים משתמשים במודולים קריפטוגרפיים
כדי להגן על מערכות ונכסים קריטיים מאיומי סייבר ולהבטיח את מהימנותם ושלמותם.
ספקים של טכנולוגיה : ספקים של מוצרים ופתרונות קריפטוגרפיים חייבים להבטיח שההצעות שלהם עומדות בתקני FIPS 140-3
כדי לעמוד בדרישות של סוכנויות ממשלתיות, תעשיות מוסדרות ולקוחות אחרים.
ארגונים בינלאומיים : בעוד שתקני FIPS משמשים בעיקר בארצות הברית, הם גם מוכרים ומאומצים על ידי ארגונים בינלאומיים,
ממשלות ותעשיות הדורשות אבטחה קריפטוגרפית חזקה.
כל ארגון או ישות שצריכים להגן על מידע רגיש, לאבטח תקשורת או להבטיח את שלמות המערכות והנתונים דורשים
מודולים קריפטוגרפיים תואמי FIPS 140-3 כדי לעמוד בדרישות האבטחה ובחובות הרגולטוריות שלהם.
אלטרנטיבות ל- FIPS 140-3
להלן מספר חלופות ל- FIPS 140-3 עבור אימות מודול קריפטוגרפי והבטחת אבטחה:
Common Criteria (CC) :
סקירה כללית: Common Criteria הוא תקן בינלאומי (ISO/IEC 15408) המספק מסגרת להערכת ואישור תכונות האבטחה
והיכולות של מוצרי ומערכות IT, כולל מודולים קריפטוגרפיים.
היקף : CC מכסה מגוון רחב של מוצרים ומערכות אבטחת IT, כולל מודולים קריפטוגרפיים, ומעריך היבטי אבטחה כגון בקרת גישה,
קריפטוגרפיה, אבטחת תקשורת ועוד.
תהליך הסמכה : בדומה ל-FIPS 140-3, הסמכת CC כוללת בדיקה והערכה על ידי מעבדות מוסמכות כדי לקבוע עמידה
בדרישות האבטחה שצוינו.
רמות ההסמכה נעות בין EAL1 (הנמוך ביותר) ל-EAL7 (הגבוה ביותר).
הכרה : Common Criteria מוכר ומאומץ בעולם, מה שהופך אותו לחלופה מקובלת ל- FIPS 140-3 באזורים רבים.
Cryptographic Algorithm Validation Program (CAVP):
סקירה כללית : CAVP הוא תקן נוסף שהוקם על ידי NIST המתמקד במיוחד באימות אלגוריתמים קריפטוגרפיים
במקום מודולים קריפטוגרפיים שלמים.
היקף : CAVP מעריך את הנכונות והאבטחה של אלגוריתמים קריפטוגרפיים מול תקנים ודרישות שצוינו,
כולל אלה שהוגדרו על ידי פרסומים מיוחדים של NIST וארגוני תקינה בינלאומיים.
תהליך הסמכה : יישומי אלגוריתם קריפטוגרפיים נבדקים באמצעות וקטורים ונהלים בדיקה סטנדרטיים
כדי להבטיח עמידה בתקנים ודרישות אבטחה רלוונטיות.
ישימות : בעוד CAVP אינו מאשר מודולים קריפטוגרפיים שלמים, הוא מספק הבטחה לאבטחה ונכונות
של אלגוריתמים להצפנה המשמשים בתוך מודולים כאלה.
Common Vulnerability Scoring System (CVSS):
סקירה כללית : CVSS היא מסגרת סטנדרטית להערכת וציון חומרת הפגיעות במערכות תוכנה וחומרה.
היקף : אמנם לא תוכנית הסמכה כמו FIPS 140-3 או Common Criteria, אך CVSS מספקת גישה משלימה
להערכת מצב האבטחה של מודולים קריפטוגרפיים על ידי הערכת ההשפעה והניצול של פגיעויות ידועות.
קריטריוני ניקוד : CVSS מקצה ציוני חומרה על סמך גורמים כגון יכולת ניצול, השפעה על סודיות, שלמות וזמינות,
וניצול בשלות הקוד.
שימוש : ארגונים יכולים להשתמש בציוני CVSS כדי לתעדף מאמצי תיקון פגיעות ולקבל החלטות מושכלות לגבי הפריסה
והשימוש של מודולים קריפטוגרפיים בהתבסס על סובלנות הסיכון ודרישות האבטחה שלהם.
חלופות אלו מציעות גישות מגוונות להערכת והבטחת האבטחה של מודולים קריפטוגרפיים, ומאפשרות לארגונים לבחור
את האפשרות המתאימה ביותר בהתבסס על הצרכים הספציפיים שלהם, דרישות הרגולציה ושיקולי ניהול סיכונים.
שאלות ותשובות בנושא FIPS 140-3
ש: האם FIPS 140-3 מוכר בינלאומית?
ת: בעוד שתקני FIPS משמשים בעיקר בארצות הברית, הם גם מוכרים ומאומצים על ידי ארגונים בינלאומיים,
ממשלות ותעשיות הדורשות אבטחה קריפטוגרפית חזקה.
למדינות ואזורים מסוימים יש סטנדרטים או תהליכי הסמכה משלהם עבור מודולים קריפטוגרפיים.
ש: האם יש רמות שונות של הסמכת FIPS 140-3?
ת: כן, הסמכת FIPS 140-3 מזהה רמות שונות של אבטחה בהתבסס על ההטמעה וההבטחה שמספקים המודול וההצפנה.
רמות אלו מכונות רמות אבטחה, החל מרמה 1 (הנמוכה ביותר) לרמה 4 (הגבוהה ביותר).
רמת ההסמכה הנדרשת תלויה בצרכי האבטחה ובהערכות הסיכונים של הארגון הפורס את מודול ההצפנה.
ש: מהן הדוגמאות של מודולים קריפטוגרפיים המכוסים על ידי FIPS 140-3?
ת: דוגמאות למודולים הצפנה המכוסים ב- FIPS 140-3 כוללות מודולי אבטחת חומרה (HSM), ספריות קריפטוגרפיות מאובטחות,
פתרונות רשת וירטואלית פרטית (VPN), התקני הצפנה, התקני חתימה דיגיטלית והתקני אסימונים קריפטוגרפיים.
מודולים אלה משמשים ביישומים שונים כדי להגן על נתונים ותקשורת רגישים.
ש: באיזו תדירות מעודכן או מתעדכן FIPS 140-3?
ת: תקני FIPS, כולל FIPS 140-3, נבדקים ומתעדכנים מעת לעת על ידי NIST כדי לתת מענה להתקדמות בטכנולוגיה,
לשינויים בדרישות האבטחה ואיומים מתעוררים.
עדכונים או תיקונים מתרחשים לפי הצורך כדי להבטיח שהוא יישאר רלוונטי ויעיל בטיפול באתגרי אבטחה מתפתחים.
ש: האם ארגונים יכולים להשתמש במודולים קריפטוגרפיים שאינם תואמים ל-FIPS?
ת: אמנם לא חל איסור מוחלט על ארגונים להשתמש במודולים קריפטוגרפיים שאינם תואמים ל-FIPS,
אך ייתכנו דרישות רגולטוריות או התחייבויות חוזיות המחייבות את השימוש במודולים התואמים FIPS בסביבות מסוימות,
במיוחד אלו הכוללות חוזים ממשלתיים, טיפול בנתונים רגישים או הגנה על תשתית קריטית.
מודולים תואמי FIPS מועדפים בשל האבטחה המוכחת שלהם ותפעול הדדיות עם מערכות אחרות התואמות FIPS.
ש: כיצד ארגונים יכולים לאמת תאימות ל- FIPS 140-3 של מודולים קריפטוגרפיים?
ת: ארגונים יכולים לאמת את תאימות FIPS 140-3 של מודולים קריפטוגרפיים על ידי בדיקת תעודות האימות שהונפקו
על ידי מעבדות בדיקה מוסמכות.
אישורים אלה מספקים פרטים על מודול ההצפנה, כולל רמת האבטחה שלו, תאריך האימות והדרישות הספציפיות
של FIPS 140-3 שהוא עומד בו.
תוכנית אימות המודול הקריפטוגרפי (CMVP) של NIST שומרת רשימה של מודולים קריפטוגרפיים מאומתים וסטטוס ההסמכה שלהם,
שארגונים יכולים להתייחס אליהם למטרות אימות.

