企業セキュリティのための保存データ保護と FIPS 140-2/-3 検証が重要な理由

Author ジョアンナ・タン & レスター・チャン | 2021年9月13日 | 全て, 安全

企業セキュリティのための保存データの保護とその理由-FIPS-140-2-3-検証事項

在宅勤務をする従業員が増えているため、IT プロフェッショナルにとってラップトップはこれまで以上に大きな懸念となっています。企業サーバーまたはクラウドサーバーにデータを集中管理し、ゼロトラストインフラストラクチャと組み合わせることで機能する場合もありますが、クラウドには欠点もあります。一部のタスクは非常に時間がかかり、従業員はインターネットにアクセスする必要があります。これは、旅行中や顧客先で作業している場合には難しい場合があります。

考慮すべきもう 1 つの要素は、従業員が使用するすべてのアプリケーションのキャッシュ動作です。データをローカルにキャッシュする有効なケースは数多くあります。一例としては、データがクラウドに書き込まれている間もユーザーが作業を続けられるように、ユーザーエクスペリエンスを向上させることが挙げられます。データは RAM で開始される可能性がありますが、その後ディスクにスワップされます。

ソフトウェア動作のあらゆる側面をロックダウンしようとする代わりに、より簡単な解決策は、SSD が保管庫のように構築されていることを確認することです。アクセスコードがあれば、アクセスできます。コードがない場合は、ドライブ上のデータを読み取ることができません。ここで、FIPS 140-2 または FIPS 140-3 認定の SSD が役に立ちます。これらのドライブは非常に安全であるため、攻撃者が NAND メモリチップを物理的に取り外してデータに直接アクセスするスキルを持っていたとしても、ドライブ上のデータを読み取ることはできません。 FIPS 140-2/-3 SSD では、保存データは暗号化されており、常にランダムデータのように見えます。

保存データとは何ですか?

データセキュリティの世界では、データは移動中と静止中の 2 つの状態のいずれかで存在するように設定されています。移動中のデータとは、プライベートまたはパブリック (信頼できない) ネットワーク上を流れる情報を指します。クラウドは、私たち全員を繋ぐグローバルネットワークであるインターネットによって実現されます。仮想プライベートネットワーク (VPN) などのテクノロジーは、移動中のデータを保護します。

保存データとは、SSD などの不揮発性ストレージ上にあるデータを指します。ここで、FIPS 140-2/-3 認定 SSD が登場します。ほとんどの SSD では、TCG Opal 標準を使用して実装されていますが、認定には非常に厳格な暗号要件への準拠と、設計のサードパーティ監査が必要です。このプロセスには通常 18 ～ 24 か月かかり、SSD のハードウェアとソフトウェアの設計を非常に深く掘り下げる必要があります。

保存データ保護はどのように機能しますか?

この種の保護には、アクセス制御と暗号化という 2 つの側面があります。 1 つ目は、信頼できる個人のみがデータにアクセスできるようにすることです。ユーザーが正しいパスワードを入力して身元を証明するまで、ドライブはロックされたままになります。

物理的攻撃 (NAND メモリチップのはんだ除去など) から保護するために、データは AES-XTS-256 などのアルゴリズムを使用して暗号化されます。暗号化アルゴリズムは、元の平文データを取得し、キーと呼ばれる 256 ビット入力を使用して、予測できない方法でデータをランダム化します。ランダム化プロセスは、そのキーを使用してのみ元に戻すことができます。その長さの鍵を推測しようとすると、最速のスーパーコンピューターを使用したとしても、何兆年もかかるでしょう [1]。

ベストプラクティスでは、各 SSD が独自のデータ暗号化キーを維持することが必要です。 SSD は、これらのデータ暗号化キー (DEK) を、アクセスコントロールパスワードから派生した専用のキー暗号化キー暗号化キー (KEK) で暗号化することで保護します。設計上、SSD はユーザーパスワードのコピーを保持しません。つまり、この種の保護が施されたラップトップを盗んだ場合、手に入るのはハードウェアだけです。企業秘密は暗号化されて安全に保管されています。

ウイルス対策ソフトウェアとファイアウォールだけでは不十分な理由

ウイルス対策ソフトウェアやファイアウォールソフトウェアで十分な保護ができていると考えるのが一般的です。残念ながら、そうではありません。これらのツールは、ある種のリモート攻撃からしか保護できないからです。誰かがラップトップを盗んで 14 本のネジを外して SSD を引き抜くことを防ぐことはできません。ここで、TCG Opal または FIPS 140-2/-3 認定の SSD が役に立ちます。調査によると、企業のラップトップ 7% は耐用年数 (通常 3 年) が終了する前に紛失または盗難に遭っていることがわかっています。 [2].

FIPS 140-2/-3 とは何ですか、また企業のセキュリティにとってなぜ重要ですか

連邦情報処理標準 (FIPS) 140-2/-3 は、米国、カナダ、およびその他の多くの国で義務付けられているセキュリティ標準です。この認証を取得した製品は、機密だが機密扱いではない情報を保護するための暗号化モジュールに関して米国標準技術研究所 (NSIT) によって定義された厳しい要件を満たしています。
目標は、製品が提供する機能が FIPS 140-2/-3 標準に準拠していることを確認することです。

FIPS 140-2/-3 では、1 ～ 4 の番号が付いた 4 つのセキュリティレベルが定義されており、以下に示す 11 の要件領域ごとに要件がますます難しくなります。 [3].

暗号モジュールの仕様
暗号化モジュールのポートとインターフェイス
役割、サービス、および認証
有限状態モデル (FIPS 140-2) / ソフトウェア/ファームウェアセキュリティ (FIPS 140-3)
物理的セキュリティ
動作環境
暗号キー管理 (FIPS 140-2) / 機密セキュリティパラメータ管理 (FIPS 140-3)
EMI/EMC (FIPS 140-2) / 非侵襲的セキュリティ (FIPS 140-3)
セルフテスト
設計保証 (FIPS 140-2) / ライフサイクル保証 (FIPS 140-3)
他の攻撃の軽減

FIPS 140-2 と FIPS 140-3 はどちらが優れていますか?

FIPS 140-3 は FIPS 140-2 に取って代わり、2019 年 9 月 22 日に発効し、2020 年 9 月 22 日に検証が開始されます。つまり、FIPS 140-2 テストは 2021 年 9 月 21 日に正式に終了し、NIST は 9 月から FIPS 140-3 の提出のみを受け入れることになります。 2021 年 22 日。140-2 標準には既知の脆弱性はありませんでしたが、セキュリティの世界の最先端における新たな発展を反映するために要件が更新されました。デバイスの認定は 5 年間有効です [4]、その時点で、再認定されるか、FIPS 140-3 認定を受けた新しいモデルに交換する必要があります。これは、すべての 140-2 認定デバイスが 2026 年 9 月までに自然に市場から廃止されるか、過去のリストに移動することを意味します。

FIPS 140-2/-3 認定を取得する方法

FIPS 140-2/-3 証明書の取得には、認定研究所による適合性テストと、特定の政府機関による検証および承認が含まれます。

暗号化モジュール検証プログラム (CMVP)

暗号モジュール検証プログラム (CMVP) は、暗号モジュールが FIPS 140-2/-3 標準に準拠しているかどうかを検証します。 CMVP は、国立標準技術研究所 (NIST) とカナダ政府の通信セキュリティ確立局 (CSE) との共同の取り組みです。

CMVP の目標は、検証済みの暗号モジュールの使用を促進し、検証済みの暗号モジュールを含む機器を調達する際に使用するセキュリティ指標を連邦政府機関に提供することです。 [5].

この規格に準拠していることが検証された製品は、機密情報 (米国) または指定情報 (カナダ) の保護のために両国の連邦機関によって受け入れられます。 [5].

暗号アルゴリズム検証プログラム (CAVP)

暗号アルゴリズム検証プログラム (CAVP) は、NIST が公式に定義したアルゴリズムを製品が実際に実装しているかどうかを検証します。また、暗号モジュール検証の前提条件でもあります。 [6].

モジュールの検証

NIST と CSE は、認定ラボからの申請書の提出を検証します。認定を取得するには、モジュールがラボによって実施される厳格なテストに合格する必要があります。ラボは、製品が指定された要件を満たしていることを確認した後、公式テストレポートを NIST および CSE に提出します。

懸念がなければ、NIST と CSE が公式証明書を発行し、モジュールは検証済みモジュールとして CMVP Web サイトに掲載されます。詳細については、NIST の Web サイトをご覧ください。

CMVP レビューステータス: 暗号化モジュール検証プログラム | CSRC (nist.gov)

検証済みモジュールのリスト: 暗号化モジュール検証プログラム | CSRC (nist.gov)

Phison を使用した FIPS 140-2/-3

「顧客のデータを保護することは、Phison における最も重要なエンジニアリング設計原則の 1 つです。 Phison SSD ソリューションで現代の脅威を軽減する FIPS 140-2 セキュリティを提供できることを嬉しく思います」と Phison 社 CEO KS Pua 氏は述べています。 [7].

Phison の E12/S12 コントローラー用 TCG OPAL SSC SSD シリーズは、すでに FIPS 140-2 レベル 2 検証に合格しています。これらは、PCIe および SATA インターフェイスをサポートする高性能の自己暗号化ソリッドステートドライブです。ユーザーデータは、転送速度を損なうことなく、AES-256-XTS オンザフライハードウェア暗号化/復号化によって保護されます。

この SSD シリーズは、FIPS 認定のさまざまな暗号化アルゴリズムを実装しており、業界標準の TCG Opal SSC プロトコルに準拠してサービスが提供されます。 CMVP 証明書番号は 3758 で、以下のリンクで確認できます。

Phison CMVP 証明書: 暗号化モジュール検証プログラム | CSRC (nist.gov)

データ保護は、このエコシステム内のすべてのプレーヤーが共同で取り組むものであり、Phison はその一部にすぎません。しかし、私たちはテクノロジーにおけるリーダーシップ、顧客とエンドユーザーのためにこれまで以上に努力する献身、将来の要件を満たす準備、そして安全とセキュリティに貢献する献身的な姿勢を示すよう努めています。