Standardy FIPS

FIPS to standardy, które amerykański National Institute of Standards and Technology (NIST) opracowuje dla agencji federalnych USA i ich wykonawców. Słownik NIST opisuje je jako standardy do przyjęcia i stosowania przez departamenty i agencje federalne, obejmujące wybrany obszar informatyki po to, żeby osiągnąć wspólny poziom jakości albo interoperacyjności. Część z nich dotyczy bezpieczeństwa: FIPS 197 opisuje szyfr AES, FIPS 199 kategoryzację systemów informacyjnych pod kątem bezpieczeństwa, a FIPS 140-3 wymagania dla modułów kryptograficznych, z czterema rosnącymi poziomami bezpieczeństwa.

W Polsce FIPS nie obowiązują nikogo wprost. Spotykam je w dwóch miejscach. Pierwsze to nazwy produktów: producent sprzętu sieciowego albo bramy zdalnego dostępuZdalny dostęp Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał. wydaje osobną linię oprogramowania oznaczoną „FIPS”, w której działają tylko algorytmy i biblioteki kryptograficzne zwalidowane według FIPS 140. Taka linia ma własne numery wersji i własne poprawki, więc przy łataniu podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. trzeba sprawdzić, która linia działa na urządzeniu. Drugie to wymagania przetargowe i polityki korporacji z kapitałem amerykańskim, które żądają „zgodności z FIPS” dla szyfrowania dysków, VPNWirtualna sieć prywatna Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków. czy tokenów sprzętowych.

W rejestrze ryzyka traktuję certyfikat FIPS 140 jako dowód, że kryptografia w produkcie została sprawdzona przez niezależne laboratorium, a nie jako dowód, że cały produkt jest bezpieczny. Historia podatności w urządzeniach z linii FIPS pokazuje, że to dwie różne rzeczy.