web-dev-qa-db-ja.com

FIPS 140-2のベンダー認定アルゴリズムとは

FIPS 140-2では、FIPS承認されたアルゴリズムをCAVPでテストするか、ベンダーが確認することができます。ここで「ベンダー確認」とは何を意味しますか？ベンダー確認済みのAES実装と言って、それを取得できますか？ FIPS証明書に追加されましたか？

auditterminologycertificationfipsnist
4
Shashank V

これはちょっと推測ですが、 派生テスト要件FIPS PUB 140-2 の6ページにあります）：

必要なベンダー情報

VE01.12.01：ベンダーは、すべての承認済み暗号化アルゴリズムの検証証明書を提供する必要があります。

VE01.12.02：ベンダーは、すべての承認されていないセキュリティ機能のリストを提供する必要があります。

VE01.12.03：ベンダーは、すべてのベンダーが確認したセキュリティメソッドのリストを提供する必要があります。

VE01.12.04：ベンダーが提供する非専有セキュリティポリシーには、ベンダーが確認したすべてのセキュリティメソッドへの参照が含まれているものとします。

認定中、暗号の実装を3つのカテゴリに分類しているようです。

  1. 承認された暗号化アルゴリズム：すでに認定されている（内部で使用する）実装。これらはレビューから除外されます。
  2. 承認されていないセキュリティ関数：MD5またはtwofish、またはその他の非FIPS暗号を本当に使用したい場合は、それを宣言する必要があります。これらはレビューから除外されます。
  3. ベンダーが確認したセキュリティメソッド：ベンダーが仕様に準拠していると主張しているが、NISTによってまだ検証されていないもの。おそらくこれがテストのために提出するものです。

だからあなたの質問については：

ベンダーが確認したAESの実装を確認し、FIPS証明書に追加してもらえますか？

もちろん！ CAVPを通じてAES実装を実行し、それを取得することは完全に歓迎されますFIPS認定済み（もちろん合格した場合））

4
Mike Ounsworth