기업 보안을 위한 유휴 데이터 보호 및 FIPS 140-2/-3 검증이 중요한 이유

작가 요한나 탕 & 레스터 창 | 2021년 9월 13일 | 모두, 보안

기업 보안 및 FIPS-140-2-3-검증이 중요한 이유를 위한 미사용 데이터 보호

더 많은 직원이 재택근무를 하게 되면서 노트북은 이제 IT 전문가에게 그 어느 때보다 큰 관심사가 되었습니다. 제로 트러스트 인프라와 결합된 회사 또는 클라우드 서버의 데이터 중앙 집중화는 경우에 따라 작동할 수 있지만 클라우드에는 단점도 있습니다. 일부 작업은 매우 느리고 직원은 인터넷에 액세스해야 합니다. 이는 출장을 가거나 고객 현장에서 일할 때 어려울 수 있습니다.

고려해야 할 또 다른 요소는 직원이 사용하는 모든 애플리케이션의 캐싱 동작입니다. 데이터를 로컬로 캐시하는 유효한 경우가 많이 있습니다. 한 가지 예는 데이터가 클라우드에 기록되는 동안 사용자가 작업을 계속할 수 있도록 사용자 경험을 개선하는 것입니다. 데이터는 RAM에서 시작할 수 있지만 디스크로 스왑됩니다.

소프트웨어 동작의 모든 측면을 잠그는 대신 더 간단한 솔루션은 SSD를 금고처럼 구축하는 것입니다. 액세스 코드가 있으면 들어갈 수 있습니다. 코드가 없으면 드라이브의 데이터를 읽을 수 없습니다. FIPS 140-2 또는 FIPS 140-3 인증 SSD가 도움이 될 수 있는 곳입니다. 이러한 드라이브는 매우 안전하여 공격자가 물리적으로 NAND 메모리 칩을 제거하고 데이터에 직접 액세스할 수 있는 기술이 있더라도 드라이브의 데이터를 읽을 수 없습니다. FIPS 140-2/-3 SSD에서 미사용 데이터는 암호화되며 항상 임의의 데이터처럼 보입니다.

미사용 데이터란 무엇입니까?

데이터 보안의 세계에서 데이터는 두 가지 상태(움직이는 상태와 정지 상태) 중 하나로 존재하도록 설정됩니다. 이동 중인 데이터는 사설 또는 공용(신뢰할 수 없는) 네트워크를 통해 흐르는 정보를 의미합니다. 클라우드는 우리 모두를 연결하는 글로벌 네트워크인 인터넷을 통해 가능합니다. 가상 사설망(VPN)과 같은 기술은 이동 중인 데이터를 보호합니다.

유휴 데이터는 SSD와 같은 비휘발성 저장소에 있는 데이터를 말합니다. 여기에서 FIPS 140-2/-3 인증 SSD가 제공됩니다. 대부분의 SSD에서는 TCG Opal 표준을 사용하여 구현되지만 인증을 받으려면 매우 엄격한 암호화 요구 사항을 준수하고 설계에 대한 제3자 감사가 필요합니다. 프로세스는 일반적으로 18~24개월이 걸리며 SSD의 하드웨어 및 소프트웨어 설계에 대한 심층 분석이 필요합니다.

미사용 데이터 보호는 어떻게 작동합니까?

이러한 종류의 보호에는 액세스 제어와 암호화라는 두 가지 측면이 있습니다. 첫 번째는 신뢰할 수 있는 개인만 데이터에 액세스할 수 있도록 하는 것입니다. 드라이브는 사용자가 올바른 암호를 제공하여 신원을 증명할 때까지 잠긴 상태로 유지됩니다.

물리적 공격(예: NAND 메모리 칩 납땜 제거)으로부터 보호하기 위해 데이터는 AES-XTS-256과 같은 알고리즘을 사용하여 암호화됩니다. 암호화 알고리즘은 원본 일반 텍스트 데이터를 가져와 키라고 하는 256비트 입력을 사용하여 예측할 수 없는 방식으로 무작위화합니다. 무작위화 프로세스는 해당 키를 사용해야만 되돌릴 수 있습니다. 가장 빠른 슈퍼 컴퓨터를 사용하더라도 그 길이의 키를 추측하려면 수조 년이 걸릴 것입니다[1].

모범 사례에 따르면 각 SSD는 자체 데이터 암호화 키를 유지 관리해야 합니다. SSD는 액세스 제어 암호에서 파생된 전용 키 암호화 키 암호화 키(KEK)로 암호화하여 이러한 데이터 암호화 키(DEK)를 보호합니다. 설계상 SSD는 사용자 암호 사본을 보관하지 않습니다. 즉, 이러한 종류의 보호 기능이 있는 노트북을 훔치면 얻을 수 있는 것은 하드웨어뿐입니다. 기업 비밀은 암호화 뒤에 여전히 안전합니다.

바이러스 백신 소프트웨어와 방화벽만으로는 충분하지 않은 이유

바이러스 백신 및 방화벽 소프트웨어로 충분히 보호할 수 있다고 사람들이 생각하는 것이 일반적입니다. 안타깝게도 이러한 도구는 일부 유형의 원격 공격에 대해서만 보호하기 때문에 그렇지 않습니다. 누군가 노트북을 훔쳐 14개의 나사를 제거하고 SSD를 빼내는 것을 방지하지 못합니다. TCG Opal 또는 FIPS 140-2/-3 인증 SSD가 필요한 곳입니다. 연구에 따르면 기업용 노트북의 7%가 유효 수명(일반적으로 3년)이 끝나기 전에 분실되거나 도난당하는 것으로 나타났습니다. [2].

FIPS 140-2/-3이란 무엇이며 이것이 기업 보안에 중요한 이유

FIPS(Federal Information Processing Standard) 140-2/-3은 미국, 캐나다 및 기타 여러 국가에서 의무화된 보안 표준입니다. 이 인증을 받은 제품은 중요하지만 분류되지 않은 정보를 보호하기 위해 암호화 모듈에 대해 NSIT(National Institute of Standards and Technology)에서 정의한 엄격한 요구 사항을 충족합니다.
목표는 제품이 제공하는 기능이 FIPS 140-2/-3 표준을 준수하는지 확인하는 것입니다.

FIPS 140-2/-3은 아래 표시된 11개 요구 사항 영역 각각에 대해 점점 더 어려워지는 요구 사항이 있는 1에서 4까지 번호가 매겨진 네 가지 보안 수준을 정의합니다. [3].

암호화 모듈 사양
암호화 모듈 포트 및 인터페이스
역할, 서비스 및 인증
유한 상태 모델(FIPS 140-2) / 소프트웨어/펌웨어 보안(FIPS 140-3)
물리적 보안
운영 환경
암호화 키 관리(FIPS 140-2) / 민감한 보안 매개변수 관리(FIPS 140-3)
EMI/EMC(FIPS 140-2) / 비침습적 보안(FIPS 140-3)
자체 테스트
설계 보증(FIPS 140-2) / 수명 주기 보증(FIPS 140-3)
기타 공격 완화

FIPS 140-2 또는 FIPS 140-3 중 어느 것이 더 좋습니까?

FIPS 140-3은 FIPS 140-2를 대체하며 2019년 9월 22일부터 발효되었으며 2020년 9월 22일부터 검증이 시작되었습니다. 즉, FIPS 140-2 테스트는 공식적으로 2021년 9월 21일에 종료되며 NIST는 9월부터 FIPS 140-3 제출만 허용합니다. 2021년 22일. 140-2 표준에는 알려진 취약점이 없었지만 최신 보안 분야의 새로운 발전을 반영하도록 요구 사항이 업데이트되었습니다. 장치 인증은 5년 동안 지속됩니다. [4], 이때 재인증을 받거나 FIPS 140-3 인증을 받은 새 모델로 교체해야 합니다. 이는 모든 140-2 인증 장치가 2026년 9월까지 자연스럽게 시장에서 퇴출되거나 과거 목록으로 이동한다는 것을 의미합니다.

FIPS 140-2/-3 인증을 받는 방법

FIPS 140-2/-3 인증을 받으려면 공인 연구소의 적합성 테스트와 특정 정부 기관의 확인 및 승인이 필요합니다.

암호화 모듈 검증 프로그램(CMVP)

CMVP(Cryptographic Module Validation Program)는 FIPS 140-2/-3 표준 준수를 위해 암호화 모듈을 검증합니다. CMVP는 NIST(National Institute of Standards and Technology)와 캐나다 정부의 CSE(Communications Security Establishment) 간의 공동 노력입니다.

CMVP의 목표는 검증된 암호화 모듈의 사용을 촉진하고 검증된 암호화 모듈이 포함된 장비를 조달하는 데 사용할 보안 메트릭을 연방 기관에 제공하는 것입니다. [5].

이 표준을 준수하는 것으로 검증된 제품은 민감한 정보(미국) 또는 지정 정보(캐나다) 보호를 위해 양국의 연방 기관에서 승인되었습니다. [5].

CAVP(암호화 알고리즘 검증 프로그램)

CAVP(Cryptographic Algorithm Validation Program)는 제품이 NIST에서 공식적으로 정의한 알고리즘을 실제로 구현하는지 여부를 검증합니다. 또한 암호 모듈 유효성 검사의 전제 조건입니다. [6].

모듈 검증

NIST와 CSE는 공인 연구소에서 제출한 신청서를 확인합니다. 인증을 받으려면 모듈이 실험실에서 실시하는 엄격한 테스트를 통과해야 합니다. 실험실에서 제품이 지정된 요구 사항을 충족하는지 확인한 후 공식 테스트 보고서를 NIST 및 CSE에 제출합니다.

문제가 없는 경우 NIST와 CSE는 공식 인증서를 발급하고 모듈은 CMVP 웹사이트에 검증된 모듈로 나열됩니다. 자세한 내용은 NIST 웹 사이트를 방문하십시오.

CMVP 검토 상태: 암호화 모듈 검증 프로그램 | CSRC(nist.gov)

검증된 모듈 목록: 암호화 모듈 검증 프로그램 | CSRC(nist.gov)

FIPS 140-2/-3(Phison 포함)

“고객의 데이터를 보호하는 것은 Phison에서 가장 중요한 엔지니어링 설계 원칙 중 하나입니다. 최신 위협을 완화하기 위해 Phison SSD 솔루션에서 FIPS 140-2 보안을 제공하게 된 것을 기쁘게 생각합니다.”라고 Phison의 CEO인 KS Pua가 말했습니다. [7].

Phison의 E12/S12 컨트롤러용 TCG OPAL SSC SSD 시리즈는 이미 FIPS 140-2 레벨 2 검증을 통과했습니다. PCIe 및 SATA 인터페이스를 지원하는 고성능 자체 암호화 솔리드 스테이트 드라이브입니다. 사용자 데이터는 전송 속도 저하 없이 AES-256-XTS 온더플라이 하드웨어 암호화/암호 해독으로 보호됩니다.

이 SSD 시리즈는 다양한 FIPS 승인 암호화 알고리즘을 구현하고 업계 표준 TCG Opal SSC 프로토콜 준수를 통해 서비스를 제공합니다. CMVP 인증서 번호는 3758이며 아래 링크에서 확인할 수 있습니다.

Phison CMVP 인증서: 암호화 모듈 검증 프로그램 | CSRC(nist.gov)

데이터 보호는 이 생태계의 모든 플레이어의 공동 노력이며 Phison은 그 일부일 뿐입니다. 그러나 우리는 기술 리더십, 고객과 최종 사용자를 위한 헌신, 미래 요구 사항을 충족할 준비, 안전과 보안에 기여하기 위한 헌신을 보여주기 위해 노력합니다.