Testen und Bewerten
Common Criteria
FIPS 140-2
Cryptographic Algorithm Testing
Sicherheits-Monitoring
Windows Security
Systemhärtung
Compliance und Audits
ISO/IEC 27001
SOX/ESOX
NASPO
Beraten und Ausbilden
Audits und Penetrationtests
Mainframe-Penetrationstests
Datenschutz
Physical Security Audits
Trainings und Weiterbildung
FIPS 140-2: Häufig gestellte Fragen
-
Warum soll ich mein Kryptographie-Modul zertifizieren lassen?
-
Gibt es eine Liste der Module, die derzeit validiert werden?
Testing
-
Wie lange dauert es ein Zertifikat für ein Kryptographie-Modul zu bekommen?
-
Kann Software auf einem PC einer Konformitätsprüfung und Validierung unterzogen werden?
-
Werden vertrauliche Informationen auch vertraulich behandelt?
Validierung und Zertifizierung
Was ist FIPS?
FIPS steht für „Federal Information Processing Standard“.
Unter dem „Information Technology Management Reform Act“ (Public Law 104-106), des „Secretary of Commerce“ versteht man anerkannte Standards und Richtlinien die vom „National Institute of Standards and Technology“ (NIST) für EDV-Systeme des Bundes (Federal computer systems) entwickelt wurden. Diese Standards und Richtlinien werden vom NIST als „Federal Information Processing Standard“ (FIPS) für den Einsatz bei der Regierung herausgegeben. FIPS wird vom NIST vorgeschrieben, wenn es eine zwingende Vorschrift des Bundes ist (z. B. für Sicherheit und Interoperabilität) und es keine annehmbaren Industriestandards und Lösungen gibt.
Auf dieser Seite befindet sich eine Auflistung aller FIPS-Standards: 
http://csrc.nist.gov/publications/PubsFIPS.html
Was ist FIPS PUB 140-2?
FIPS Veröffentlichung 140-2: Sicherheitsanforderungen für kryptographische Module werden vom NIST veröffentlicht.
Es wurde zuletzt am 03. Dezember 2002 aktualisiert und bildet die Grundlage für die Prüfung, Validierung und letztlich die Zertifizierung von kryptographischen Modulen. Es wird derzeit von NIST mit einer neuen Version des Dokuments FIPS PUB 140-3 geplant die im Jahr 2009 veröffentlicht werden soll.
Was ist ein Kryptographie-Modul?
Gemäß FIPS 140-2, ist ein kryptographisches Modul "die Menge der Hardware, Software und / oder Firmware, die bewährte Sicherheitsfunktionen implementiert (einschließlich kryptographische Algorithmen und Generierung von Schlüsseln) und innerhalb der kryptografischen Grenze enthalten ist."
Warum soll ich mein Kryptographie-Modul zertifizieren lassen?
Wenn das Modul als standardkonform zertifiziert ist, kann es von Bundesbehörden, die Kryptographie vorschreiben, in Betracht gezogen werden.
Durch den Federal Information Security Management Act (FISMA) von 2002 entfällt die gesetzliche Regelung, die es Agenturen erlaubt auf die verbindlichen Federal Information Processing Standards (FIPS) zu verzichten.
Der Verzicht auf diese Bestimmung ist im Computer Security Act von 1987 eingetragen, jedoch steht FISMA über diesem Gesetz (akzeptiert FISMA dieses Gesetz nicht). Daher gibt in vielen der unten aufgeführten FIPS Standards Verweise auf den "Aufhebungsprozess" die nicht mehr wirksam sind.
Wenn eine Agentur angibt, dass Informationen oder Daten kryptographisch zu schützen sind, ist FIPS 140-2 anwendbar.
FIPS 140-2 schließt die Verwendung von Kryptographie, die nicht validiert wurde, für den kryptographischen Schutz empfindlicher oder wertvoller Daten in Systemen des Bundes aus.
Weitere Informationen zu diesem Thema finden Sie unter: http://www.itl.nist.gov/fipspubs/
Darüber hinaus analysierte das „Cryptographic Module Validation Program“ Daten aus den ersten 164 getesteten Modulen. Sie fanden heraus, dass 50% der Module Sicherheitslücken besitzen und 25% der verwendeten Algorithmen falsch umgesetzt wurden.
Was ist das Hauptkonzept von FIPS 140-2?
Der FIPS 140-2 Standard legt die notwendigen Sicherheitsanforderungen für ein kryptografisches Modul fest, was zum Schutz sensibler aber nicht klassifizierter Informationen genutzt wird.
Damit das gesamte Spektrum der möglichen Anwendungen und Umgebungen, in denen kryptografische Module verwendet werden abgedeckt wird, sind vier Qualitätsstufen für Sicherheit definiert. Diese werden als Level 1, Level 2, Level 3, und Level 4 bezeichnet.
Die Sicherheitsanforderungen betreffen Bereiche der sicheren Planung und Durchführung eines kryptographischen Moduls und jeder Bereich wird in einer Gefahrenstufe bewertet.
Die Bereiche enthalten:
- kryptografische Modul-Spezifikationen
- kryptografische Module, Ports und Schnittstellen
- Funktionen, Dienste und Authentifizierung
- Finite State Model
- physikalische Sicherheit
- Betriebsumgebung
- kryptographisches Schlüsselmanagement
- elektromagnetische Störungen / elektromagnetische Kompatibilität (EMI/EMC)
- Selbsttests
- Designsicherheit
- Abschwächung anderer Angriffe
Wie kann ich eine Kopie des Standards bekommen?
Die Standards sind frei verfügbar unter:
http://csrc.nist.gov/groups/STM/index.html
http://www.itl.nist.gov/fipspubs/
Ist ein Kryptographie-Modul, wenn es mit dem Standard konform (complient) ist, garantiert (100%) sicher?
Nach dem Standard zertifiziert zu sein, erhöht die Sicherheit eines Kryptographie-Moduls.
Diese Tatsache wird hervorgehoben, wenn man bedenkt, dass fast 50% der Module Sicherheitslücken haben, und rund 25% der kryptografischen Algorithmen falsch umgesetzt/ implementiert werden.
Eine absolute Garantie gibt es jedoch nicht.
Gibt es eine Liste der Module, die derzeit validiert werden?
Die Liste der FIPS 140-1 und FIPS 140-2 Module die sich in Bearbeitung befinden wird von der CMVP veröffentlicht und wöchentlich aktualisiert.
Diese List ist hier zu finden:
http://csrc.nist.gov/groups/STM/cmvp/documents/140-1/140InProcess.pdf
Eine Erläuterung der Liste und der verwendeten Terminologie finden Sie hier:
http://csrc.nist.gov/groups/STM/cmvp/inprocess.html
Testing
Warum brauchen wir unabhängiges Testing?
Erfolgreiche Verschlüsselung hängt von den gewählten mathematischen Algorithmen, Sicherheitsfunktionen der Technologie auf denen diese Algorithmen implementiert werden, der sicheren Speicherung und Handhabung der verwendeten Schlüssel und der Umgebung in der das Verschlüsselungsmodul betrieben wird ab.
Während die Stärken der Standard Algorithmen bekannt sind, muss die Technologie auf der sie implementiert werden sicher sein.
Wer macht unabhängiges Testing?
Testergebnisse einer Validierungen akzeptiert die CMVP von Laboratorien, die durch das NVLAP für Cryptographic Module Testing akkreditiert sind. Diese Zulassung wird nach der vollständigen Überprüfung des QMS der Laboratorien und Abschluss einer technischen Eignungsprüfungen vergeben.
Wer akkreditiert die Laboratorien?
Das „National Voluntary Laboratory Accreditation Program“ (NVLAP)
http://ts.nist.gov/ts/htdocs/210/214/214.htm
Wie lange dauert es ein Zertifikat für ein Kryptographie-Modul zu bekommen?
Die Zeit bis zum kompletten Test und Validierung, hängt von mehreren Faktoren ab.
Unter der Annahme, dass wir ein abgeschlossenes Modul haben, dass mit der Spezifikation testing übereinstimmt kann es weniger als 8 Wochen bzw. bis zu einem Jahr oder mehr Laborzeit in Anspruch nehmen.
Vor Beginn der Tests sollten Sie die folgenden Faktoren, welche die Zeit beeinflussen, berücksichtigen:
- Das Design und die Entwicklung des Moduls unter Berücksichtigung der FIPS 140-2 Spezifikation.
- Die Vollständigkeit und Korrektheit der Dokumentation
- Eine neuartige Technologie könnte für das CMVP ein neuer Leitfaden bedeuten
- Die Größe und Komplexität des Moduls
- Die Sicherheitsstufe auf der die Prüfung stattfinden wird
- Die Mittel für die Prüfung durch das Labor
- Die Mittel der Entwickler / Förderer
- Wurden die kryptographischen Algorithmen bereits validiert
Für die Validierung durch CMVP und nachfolgenden Prüfung durch das Labor, sollte bedacht werden, dass auch für die Validierung durch das CMVP Zeit benötigt wird. Dies ist zwar unterschiedlich, könnte allerdings den Zeitplan um ein paar Monate verlängern.
Kann Software auf einem PC einer Konformitätsprüfung und Validierung unterzogen werden?
Der Prozess gilt auch für das kryptografische Modul als Ganzes. Im Fall, dass ein PC mit einem Software Kryptographie-Modul Programm läuft, ist der PC selbst, das Betriebssystem und die Kryptographie Software Teil des Moduls und werden zusammen getestet.
Welche Unterlagen und Nachweise muss ich dem Labor liefern?
Die Liste der erforderlichen Unterlagen ist im Standard und in der abgeleiteten Testanforderungen vorhanden/ gegeben. Eine Zusammenfassung ist gegeben als Appendix "A" of FIPS 140-2 und für eine einfache Referenz ist es in 
diesem atsec-Dokument abgedruckt.
Darüber hinaus benötigt das Labor für den Test einen entsprechenden Zugriff auf das Modul. Für Hard-und Firmware-Module wird in der Regel mehr als nur ein Gerät benötigt.
Werden vertraulichen Informationen auch vertraulich behandelt?
Selbstverständlich, die Mitarbeiter von atsec sind Sicherheitsexperten und nehmen dieses Thema/ Problem sehr ernst. atsecs Labore und Beratungsunternehmen sind die ersten, die nach BS 7799-2 zertifiziert und bezüglich der Sicherheitsverfahren unabhängig überprüft wurden.
Validierung und Zertifizierung
Was ist CMVP (Cryptographic Module Verification Program)?
Das CMVP wurde durch NIST und das Communications Security Establishment (CSE) der Kanadischen Regierung im Juli 1995 gegründet. Alle Tests im Rahmen des CMVP werden von Dritt-Labors die vom National Voluntary Laboratory Accreditation Program (NVLAP) als Cryptographic und Security Testing (CST) Laboratorien akkreditiert sind, behandelt/durchgeführt.
Die Webseite findet man unter: http://csrc.nist.gov/cryptval/.
Was ist Validierung?
Das „Cryptographic Module Validation Program“ (CMVP) ist für die Aufrechterhaltung des FIPS 140-2 Standard zuständig und gewährleistet, dass zertifizierte Module mit diesem übereinstimmen. Es ist diese Verantwortung warum das Programm die Rolle als Validator besitzt. Es stellt sicher, dass die durchgeführten Labor Prüfungen korrekt durchgeführt wurden.
Wie hoch sind die Kosten bei einer FIPS 140-2 Zertifizierung?
Die Antwort variiert natürlich, jedoch wird uns diese Frage sehr häufig gestellt. Bezüglich der Kosten gibt es einige Komponenten. Diese werden im folgenden erläutert:
Vorbereitung:
Die Vorbereitung des Produkts auf Konformität mit dem Standard ist mit einem Kostenfaktor verbunden. Faktoren für diese Kosten stützen sich auf Erfahrungen mit der Gestaltung eines Produktes nach den Vorgaben des Standards. Wenn Sie in diesem Bereich bereits Erfahrung haben werden die Kosten wahrscheinlich geringer sein. Es muss bedacht werden, dass einige spezielle Unterlagen einschließlich der Security Policy und des „Finite State Modell“ entwickelt werden müssen. Wenn darüber hinaus das Produkt nicht den Anforderungen des Standards entspricht kann es auch Änderung in der Konzeption und Weiterentwicklung zur Folge haben. Typische Bereiche der non-conformity schließt die ordnungsmäßige Durchführung der Selbsttests, Schlüssel Management Fragen und die physische Sicherheitsspezifikationen mit ein.
Support:
Viele Unternehmen finden vor allem in der ersten Zeit der Durchführung eines FIPS-140 - Validierung Projekts, dass sie bei der Auslegung des Standards, Ausbildung und dem Inhalt der Security Policy Unterstützung benötigen.
Formelle Labortests:
Diese sind von der Art des Moduls abhängig. Zum Beispiel:
- Ein Hardware Modul verursacht zusätzliche Kosten für physische Sicherheitstests.
- Die gewählte Sicherheitsstufe erhöht die Kosten für das Labor da bei den höheren Sicherheitsstufen weiterer Prüfungen erforderlich sind und somit die Laborkosten steigen.
- Wenn die Anzahl der Sicherheitsfunktionen, die eine Validierung benötigen stark ansteigt, können sich die Kosten erhöhen.
- Anzahl der Plattformen für die die Prüfung durchgeführt werden soll.
NIST CMVP Kostendeckungs Beitrag (Cost Recovery Fee):
Dies sind Kosten, die direkt vom Entwickler von NIST entstehen. Ein Labor kann anbieten, diese Kosten in die allgemeinen Laborkosten einzubinden und NIST direkt im Namen des Entwickler zu zahlen.
(Von: http://csrc.nist.gov/groups/STM/cmvp/notices.html)
Zur Kostendeckung wird, für Validierungsaufgaben und Programm Management Verantwortlichkeiten die von NIST während des CMVP durchgeführt/ wahrgenommen werden, eine Gebühr erhoben. Es gibt zwei Gebühren für die maßgebliche Kostendeckung: Grundgebühr und erweiterte Gebühren. Die Grundgebühr gilt für alle vom NIST CMVP nach FIPS 140-2 G.8 IG-5 (neues Modul)erhaltene Validierungsprüfberichte, bei denen der Verkäufer mit einem CMT-Labor zusammenarbeite, wo der Vertrag nach dem 18. Juli 2002 geschlossen wurde. Die erweiterten Kosten beinhaltet alle Validierungsprüfberichte die vom NIST CMVP nach FIPS 140-2 IG G.8 (alle fünf Änderungsszenarien)erhalten wurden, die sich im Status „REVIEW PENDING“ und in der NIST CMVP Warteschlange vom 19. Oktober 2006 befinden.
Die Gebühren variieren je nach Security Level:
- Security Level 1: Grundgebühr: $2750, Erweiterte Gebühr: $1250
- Security Level 2: Grundgebühr: $3750, Erweiterte Gebühr: $1750
- Security Level 3: Grundgebühr: $5250, Erweiterte Gebühr: $2250
- Security Level 4: Grundgebühr: $7250, Erweiterte Gebühr: $3500
Die erweiterten Gebühren kommen zur Anwendung, wenn ein Validierungbericht von den Validatoren zusätzlich erhebliche Aufwendungen erfordert. Eine Reihe von Faktoren können dazu führen, dass erweiterte Gebühren für einen Prüfbericht, des CMVP der testing CMT Laboratory, entstehen. z.B.: Der Prüfbericht entdeckt eine nicht Einhaltung des Standards, die nicht von dem CMT Labor identifiziert wurde; ein Prüfbericht wird unvollständig erhalten (siehe FIPS 140-2 IG G.2) dies bedeutet, dass der Bericht im Status „IN REVIEW“ geht; die Qualität des erhaltenen Prüfberichts ist nicht hinnehmbar oder die Überprüfung und Koordination nimmt erhebliche mehr Zeit in Anspruch. Das CMVP kann eine weitere Gebühr für einzelne Berichte mit anderen speziellen Konditionen auferlegen.
Re-Validierungskosten:
Diese können bei der Weiterentwicklung und bei der Notwendigkeit einer FIPS 140-2 Zertifizierung enstehen.
Wie sind die Anforderungen für eine Zertifizierung?
Das Labor muss vollständigkeitshalber alle Nachweise der Test, die sich aus den Testanforderungen ableiten lassen, zur Verfügung stellen.
- Ein Vertrag und eine Geheimhaltungsvereinbarung NDA (Non-Disclosure Agreement)
- Eine Liste der Dokumentationanforderungen befindet sich im Anhang A des Standards unter http://csrc.nist.gov/publications/fips/fips140-2/fips1402.pdf und auf der .
- Darüber hinaus brauchen wir Zugang zu Ihrem Modul und entsprechenden Plattformen.
Wie lange ist ein Zertifikat gültig?
Ein Zertifikat ist für die gesamte Lebensdauer dieser Version des Produkts gültig.
Werde ich durch das CMVP überwacht werden?
Nein, nur das Labor wird durch das CMVP überwacht.
Im Allgemeinen fungiert das Labor als Ansprechpartner für das CMVP. Das Labor stellt sicher, dass die Prüfungen ordnungsgemäß durchgeführt werden und soll Fragen, Probleme oder offene Punkte lösen, um einen vollständigen Bericht des CMVP zur Validierung zu präsentieren.
atsec ist verpflichtet, Anbietern und Sponsoren zu einer erfolgreichen FIPS 140-2 Zertifizierung ihres Moduls zu helfen und auftretende Probleme zu erläutern.
Resolutions enthalten häufig
- Bereitstellung zusätzlicher Dokumentation
- Änderung des security level für diesen Bereich
- Umsetzung kleinerer Änderungen im Produktdesign
Häufig verändert die Lösung von kleineren Problemen nicht den Zeitplan oder die Gesamtkosten.
