Loading article…
連邦情報処理標準規格140-3（FIPS PUB 140-3）[1] [2]は、暗号モジュールを承認するために使用される米国 政府の コンピュータセキュリティ 標準です。タイトルは「暗号モジュールのセキュリティ要件」です。最初の発行は2019年3月22日で、FIPS 140-2に取って代わります。
目的
米国国立標準技術研究所(NIST) は、ハードウェア コンポーネントとソフトウェア コンポーネントの両方を含む暗号化モジュールの要件と標準を調整するために、FIPS 140出版物シリーズを発行しました。連邦政府機関および部門は、使用中のモジュールが、正確なモジュール名、ハードウェア、ソフトウェア、ファームウェア、および/またはアプレットのバージョン番号を指定する既存のFIPS 140証明書の対象になっていることを検証できます。暗号化モジュールは、米国政府およびその他の規制産業 (金融機関や医療機関など) が機密情報 (SBU) の収集、保存、転送、共有、配布に使用するために、民間部門またはオープン ソースコミュニティによって作成されています。
歴史
FIPS 140 標準を更新する取り組みは、2000 年代初頭にまで遡ります。FIPS 140-3 (2013 ドラフト) は、2013 年 8 月に商務長官によって署名される予定でしたが、署名されることはなく、ドラフトはその後放棄されました。2014 年に、NIST は大幅に異なる FIPS 140-3 ドラフトをリリースしました。このバージョンは、FIPS 140-2の代替として、国際標準化機構/国際電気標準会議 (ISO/IEC) 標準 19790:2012 の使用を事実上指示しています。FIPS 140-3 の 2014 ドラフトも放棄されましたが、最終的にはISO/IEC 19790の使用が実現しました。 2015 年 8 月 12 日、NIST は連邦官報で正式に声明を発表し、FIPS 140-2の更新で ISO/IEC 19790:2014 の一部を使用する可能性についてコメントを求めました。ISO/IEC 19790 の 2014 バージョンへの言及は連邦官報の投稿における不注意な誤りであり、2012 バージョンが最新バージョンです。ISO/IEC 19790 は最近 2018 年にレビューおよび再確認されましたが、変更はなく、2012 バージョンの命名法が維持されています。
FIPS 140 の更新プロセスは、ハードウェア セキュリティ[3]などの深刻な技術的問題や、今後の方向性をめぐる米国政府内の明らかな意見の不一致によって妨げられました。現在は放棄されている 2013 年の FIPS 140-3 草案では、より高いセキュリティ レベルで検証する際に非侵入型攻撃の緩和を要求し、パブリック セキュリティ パラメータの概念を導入し、特定の条件が満たされるまで特定の自己テストを延期することを許可し、ユーザー認証と整合性テストの要件を強化していました。
暗号モジュール検証プログラム
FIPS 140規格は、カナダ政府のためにNISTと通信保安局（CSEC）の共同作業として暗号モジュール検証プログラム（CMVP）を確立し、現在はCSEC機関内の新しい集中的な取り組みであるCCCS（カナダサイバーセキュリティセンター）によって管理されています。[4]
NIST と CCCS が監督するセキュリティ プログラムは、セキュリティ評価ツール、技術、サービス、およびテスト、評価、検証のサポート プログラムを開発、管理、促進することで、政府や業界と連携してより安全なシステムとネットワークを確立することに重点を置いています。また、セキュリティ メトリック、セキュリティ評価基準と評価方法、テスト、およびテスト方法の開発と保守、ラボ認定のためのセキュリティ固有の基準、評価およびテスト済み製品の使用に関するガイダンス、保証方法とシステム全体のセキュリティおよび評価方法に対処するための調査、セキュリティ プロトコル検証活動、自主的な業界標準化団体やその他の評価体制の評価関連活動との適切な調整などの分野に取り組んでいます。
承認と発行
2019年3月22日、米国商務長官 ウィルバー・ロスは、FIPS 140-2の後継として、暗号モジュールのセキュリティ要件であるFIPS 140-3を承認した。[5] FIPS 140-3は2019年9月22日に発効した。 [6] FIPS 140-3のテストは2020年9月22日に開始され、少数の検証証明書が発行されている。FIPS 140-2のテストは2021年9月21日まで利用可能であったため、1年間の重複移行期間が生じていた。CMVPキューに残っているFIPS 140-2テストレポートは、その日以降も検証が付与されますが、すべてのFIPS 140-2検証は、実際の最終検証日に関わらず、2026年9月21日に履歴リストに移動されます。[7]
参照
参考文献
- ^ 「FIPS PUB 140-3: 暗号モジュールのセキュリティ要件」(PDF) . NIST . 2019-03-22.
- ^ 「連邦情報処理標準 (FIPS) 出版物: FIPS 140--3、暗号化モジュールのセキュリティ要件」。NIST。2019 年 3 月。2020年 10 月 19 日閲覧。
- ^ 「NIST 物理セキュリティテストワークショップの議事録」。NIST。2005年 9 月 26 日。2016 年 3 月 4 日時点のオリジナルよりアーカイブ。2016年 1 月 10 日閲覧。
- ^ 「暗号モジュール検証プログラム」。csrc.nist.gov。米国国立標準技術研究所。2019年5月8日。 2019年5月29日閲覧。
- ^ 「FIPS 140-3、暗号モジュールのセキュリティ要件の承認および発行の発表」www.nist.gov。米国国立標準技術研究所。2019 年 5 月 1 日。2019年5 月 29 日閲覧。
- ^ 「FIPS 140-3、暗号モジュールのセキュリティ要件の承認および発行の発表」www.nist.gov。米国国立標準技術研究所。2019 年 5 月 1 日。2019年5 月 29 日閲覧。
- ^ 「FIPS 140-3 移行の取り組み」www.nist.gov。米国国立標準技術研究所。2020 年 9 月 21 日。2020年10 月 19 日閲覧。
外部リンク
- 「NIST 物理セキュリティテストワークショップの議事録」。NIST。2005年 9 月 26 日。2016 年 3 月 4 日にオリジナルからアーカイブ。2016年 1 月 10 日に取得。
- 「FIPS 140-3 PUB 開発」。NIST。2013 年 4 月 30 日。2013 年 5 月 18 日に取得。
- 「暗号モジュール検証プログラム (CMVP)」。NIST。2013 年 4 月 5 日。2013 年 5 月 18 日に閲覧。