Definition: Die 140er-Reihe der Federal Information Processing Standards (FIPS) sind Computersicherheitsstandards der US-Regierung, die Anforderungen an kryptografische Module festlegen und über vier zunehmende Qualitätsstufen verfügen, die ein breites Spektrum potenzieller Anwendungen und Umgebungen abdecken sollen. Das National Institute of Standards and Technology of the United States of America (NIST) entwickelte FIPS 140-2, das gemäß dem Federal Information Security Management Act (FISMA) für Beschaffungen der amerikanischen und kanadischen Regierung vorgeschrieben ist.
Die Norm FIPS 140-2
Die 140-Serie von FIPS sind die Normen, die sich mit Computerkryptomodulen befassen. Diese umfassen sowohl Hardware- als auch Softwarekomponenten, die von den Abteilungen und Behörden der Bundesregierung der Vereinigten Staaten verwendet werden. FIPS 140-2 ist der aktuelle Industriestandard. FIPS 140-2 enthält Vorschriften für Widerstandsfähigkeit gegen physische Manipulation, rollenbasierte Authentifizierung und physische und logische Trennung von Schnittstellen, die von „kritischen Sicherheitsparametern“ durchlaufen werden.
FIPS 140-2 hat vier Ebenen, von denen jede strenger ist als die vorherige:
- FIPS 140-2 Level 1 ist der niedrigste, stellt sehr begrenzte Anforderungen; in etwa müssen alle Komponenten „produktionsfähig“ sein und verschiedene Arten von sehr großer Unsicherheit dürfen nicht vorhanden sein.
- FIPS 140-2 Level 2 fügt Anforderungen für physische Manipulationsnachweise und rollenbasierte Authentifizierung hinzu.
- FIPS 140-2 Level 3 fügt Anforderungen an die physische Manipulationsresistenz hinzu (die es Angreifern erschwert, Zugang zu den im Modul enthaltenen sensiblen Informationen zu erhalten) und die identitätsbasierte Authentifizierung sowie an eine physische oder logische Trennung zwischen den Schnittstellen, über die „kritische Sicherheitsparameter“ in das Modul und aus dem Modul gelangen, und seinen anderen Schnittstellen.
- FIPS 140-2 Level 4 erhöht die Anforderungen an die physische Sicherheit und erfordert Robustheit gegen Umweltangriffe.
Um ein kryptografisches Modul wie ein Hardware-Sicherheitmodul (HSM) zu zertifizieren, müssen sich private Anbieter zunächst einer Reihe von FIPS-Tests durch ein unabhängiges, akkreditiertes Cryptographic and Security Testing (CST)-Labor unterziehen, wie etwa dem National Voluntary Lab Accreditation Program.
Utimaco hat verschiedene kryptografische Module nach dem Standard FIPS 140-2 validiert.
