FIPS 140-2
The Federal Information Processing Standard (FIPS) Publication 140-2 (FIPS PUB 140-2), commonly referred as FIPS 140-2, is a US government computer security standard used to validate cryptographic modules. FIPS 140-2 was created by the NIST and, per the FISMA, is mandatory for US and Canadian government procurements. Many global organizations are also mandated to meet this standard.
Dymar delivers security products that have been tested and validated against the rigorous FIPS 140-2 standard, helping you comply with regulations while also giving you the confidence you need in your cryptographic tools.
Publikasi Standar Pemrosesan Informasi Federal (FIPS) 140-2 (FIPS PUB 140-2), biasanya disebut sebagai FIPS 140-2, adalah standar keamanan komputer pemerintah AS yang digunakan untuk memvalidasi modul kriptografi. FIPS 140-2 dibuat oleh NIST dan, menurut FISMA, wajib untuk pengadaan pemerintah AS dan Kanada. Banyak organisasi global juga diberi mandat untuk memenuhi standar ini. Dymar memberikan produk keamanan yang telah diuji dan divalidasi terhadap standar FIPS 140-2 yang ketat, membantu Anda mematuhi peraturan sambil juga memberi Anda kepercayaan diri yang Anda butuhkan pada alat kriptografi Anda.
Organizations use the FIPS 140-2 standard to ensure that the hardware they select meets specific security requirements. The FIPS certification standard defines four increasing, qualitative levels of security:
Level 1: Requires production-grade equipment and externally tested algorithms.
Level 2: Adds requirements for physical tamper-evidence and role-based authentication. Software implementations must run on an Operating System approved to Common Criteria at EAL2.
Level 3: Adds requirements for physical tamper-resistance and identity-based authentication. There must also be physical or logical separation between the interfaces by which “critical security parameters” enter and leave the module. Private keys can only enter or leave in encrypted form.
Level 4: This level makes the physical security requirements more stringent, requiring the ability to be tamper-active, erasing the contents of the device if it detects various forms of environmental attack.
The FIPS 140-2 standard technically allows for software-only implementations at level 3 or 4 but applies such stringent requirements that none have been validated.
Organisasi menggunakan standar FIPS 140-2 untuk memastikan bahwa perangkat keras yang mereka pilih memenuhi persyaratan keamanan tertentu. Standar sertifikasi FIPS mendefinisikan empat tingkat keamanan kualitatif yang meningkat: Level 1: Memerlukan peralatan tingkat produksi dan algoritme yang diuji secara eksternal. Level 2: Menambahkan persyaratan untuk bukti kerusakan fisik dan autentikasi berbasis peran. Implementasi perangkat lunak harus berjalan pada Sistem Operasi yang disetujui oleh Common Criteria di EAL2. Level 3: Menambahkan persyaratan untuk ketahanan terhadap kerusakan fisik dan autentikasi berbasis identitas. Juga harus ada pemisahan fisik atau logis antara antarmuka di mana “parameter keamanan kritis” masuk dan keluar dari modul. Kunci pribadi hanya dapat masuk atau keluar dalam bentuk terenkripsi. Level 4: Tingkat ini membuat persyaratan keamanan fisik menjadi lebih ketat, membutuhkan kemampuan untuk mengubah-aktif, menghapus konten perangkat jika mendeteksi berbagai bentuk serangan lingkungan. Standar FIPS 140-2 secara teknis memungkinkan implementasi perangkat lunak saja pada level 3 atau 4 tetapi menerapkan persyaratan ketat sehingga tidak ada yang divalidasi.
Secure your data, comply with regulatory and industry standards, and protect your organization’s reputation.
Amankan data Anda, patuhi peraturan dan standar industri, serta lindungi reputasi organisasi Anda. Thales payShield 10K HSM Thales Luna GP HSM Manajer Kepercayaan Thales Cipher
For many organizations, requiring FIPS certification at FIPS 140 level 3 is a good compromise between effective security, operational convenience, and choice in the marketplace.
Bagi banyak organisasi, mewajibkan sertifikasi FIPS di FIPS 140 level 3 merupakan kompromi yang baik antara keamanan yang efektif, kenyamanan operasional, dan pilihan di pasar.
Federal Information Processing Standards Publication
The selective application of technological and related procedural safeguards is an important responsibility of every Federal organization in providing adequate security in its computer and telecommunication systems. This publication provides a standard that will be used by Federal organizations when these organizations specify that cryptographic-based security systems are to be used to provide protection for sensitive or valuable data. Protection of a cryptographic module within a security system is necessary to maintain the confidentiality and integrity of the information protected by the module. This standard specifies the security requirements that will be satisfied by a cryptographic module. The standard provides four increasing, qualitative levels of security intended to cover a wide range of potential applications and environments. The security requirements cover areas related to the secure design and implementation of a cryptographic module. These areas include cryptographic module specification; cryptographic module ports and interfaces; roles, services, and authentication; finite state model; physical security; operational environment; cryptographic key management; electromagnetic interference/electromagnetic compatibility (EMI/EMC); self-tests; design assurance; and mitigation of other attacks.
Penerapan selektif pengamanan prosedural teknologi dan terkait merupakan tanggung jawab penting dari setiap organisasi Federal dalam memberikan keamanan yang memadai di komputer dan sistem telekomunikasi. Publikasi ini memberikan standar yang akan digunakan oleh organisasi Federal ketika organisasi ini menetapkan bahwa sistem keamanan berbasis kriptografi akan digunakan untuk memberikan perlindungan bagi data sensitif atau berharga. Perlindungan modul kriptografi dalam sistem keamanan diperlukan untuk menjaga kerahasiaan dan integritas informasi yang dilindungi oleh modul. Standar ini menetapkan persyaratan keamanan yang akan dipenuhi oleh modul kriptografi. Standar ini menyediakan empat tingkat keamanan kualitatif yang meningkat yang dimaksudkan untuk mencakup berbagai aplikasi dan lingkungan potensial. Persyaratan keamanan mencakup area yang terkait dengan desain dan implementasi aman dari modul kriptografi. Area ini meliputi spesifikasi modul kriptografi; port dan antarmuka modul kriptografi; peran, layanan, dan otentikasi; model keadaan terbatas; keamanan fisik; lingkungan operasional; manajemen kunci kriptografi; interferensi elektromagnetik/kompatibilitas elektromagnetik (EMI/EMC); tes mandiri; jaminan desain; dan mitigasi serangan lainnya.