联邦信息处理标准 (FIPS)

FIPS(联邦信息处理标准)140-2 是验证加密硬件有效性的基准。 如果产品具有 FIPS 140-2 证书,则您知道它已通过了美国和加拿大政府的测试和正式验证。 虽然 FIPS 140-2 是美国/加拿大联邦标准,但是 FIPS 140-2 合规性已被世界各地政府和非政府部门广泛用作实用的安全基准和现实的最佳实践。
组织使用 FIPS 140-2 标准来确保他们选择的硬件满足特定安全要求。 FIPS 认证标准定义了四种不断提高的定性安全级别:

  • 第 1 级: 需要生产级设备和经过外部测试的算法。
  • 第 2 级: 增加了对物理篡改证据和基于角色的身份验证的要求。 软件实施必须在 EAL2 通用标准批准的操作系统上运行。
  • 第 3 级: 增加了对物理抗篡改和基于身份的身份验证的要求。 “关键安全参数”进入和离开模块的接口之间还必须存在物理或逻辑上的分离。 私钥只能以加密形式进入或离开。
  • 第 4 级: 该级别使物理安全要求更加严格,要求能够进行篡改,如果设备检测到各种形式的环境攻击,则会清除设备的内容。
FIPS 140-2 标准在技术上允许在第 3 级或第 4 级进行纯软件实施,但采用的要求如此严格,以至于没有一项得到验证。
对于许多组织来说,要求 FIPS 140 第 3 级 FIPS 认证是在有效安全性、操作便利性和市场选择之间的良好折衷。