De Federal Information Processing Standards (FIPS) zijn openbaar bekendgemaakte Amerikaanse overheidsnormen, ontwikkeld door NIST, die specificeren hoe cryptografische modules moeten worden ontworpen en getest; FIPS 140-3 is de huidige norm en vervangt FIPS 140-2, die op 21 september 2026 komt te vervallen.
FIPS 140-3 is de huidige NIST-standaard voor cryptografische modules die worden gebruikt om data in rust en tijdens transport te versleutelen. Deze standaard vervangt FIPS 140-2, waarvan de validatie op 21 september 2026 afloopt. FIPS 140-3 definieert vier beveiligingsniveaus, van niveau 1 met de basisvereisten voor productieomgevingen tot niveau 4 met de bescherming tegen manipulatie, en is verplicht voor federale instanties en hun leveranciers.
Key Takeaways
- FIPS 140-3 is de huidige standaard voor cryptografische modules; de validatie voor FIPS 140-2 vervalt op 21 september 2026, dus nieuwe implementaties moeten zich richten op modules die gevalideerd zijn volgens FIPS 140-3.
- FIPS 140-3 definieert vier beveiligingsniveaus, waarbij niveau 1 basisapparatuur van productiekwaliteit vereist en niveau 4 sabotagebestendige, zelfwissende beveiligingen.
- Federale instanties, hun contractanten en elke leverancier die cryptografische modules voor federaal gebruik verkoopt, moeten beschikken over een actuele FIPS-validatie.
- De FIPS-modus van Windows beperkt een besturingssysteem tot het gebruik van alleen FIPS-gevalideerde cryptografische algoritmen en sleutellengtes.
- Een FIPS-code is een apart, onafhankelijk nummeringssysteem dat geografische gebieden in de VS identificeert, en geen cryptografische standaard.
Wat is het verschil tussen FIPS 140-2 en FIPS 140-3?
FIPS 140-3 vervangt FIPS 140-2 als de NIST-standaard voor de validatie van cryptografische modules. NIST heeft 21 september 2026 vastgesteld als de datum waarop FIPS 140-2-validatiecertificaten de status van 'historisch' krijgen. Dit betekent dat organisaties die nog steeds gebruikmaken van FIPS 140-2-gevalideerde modules, vóór die datum moeten overstappen op FIPS 140-3-gevalideerde hardware en software.
Wat zijn de vier beveiligingsniveaus van FIPS 140-3?
| Niveau | Kernvereiste |
|---|---|
| Niveau 1 | Apparatuur van productiekwaliteit en ten minste één gevalideerd encryptiealgoritme. |
| Niveau 2 | Vereisten van niveau 1 plus op rollen gebaseerde authenticatie en fraudebestendige fysieke apparaten |
| Niveau 3 | Vereisten van niveau 2 plus fraudebestendige apparaten, identiteitsgebaseerde authenticatie en scheiding van interfaces die kritieke beveiligingsparameters transporteren. |
| Niveau 4 | Voldoet aan de eisen van niveau 3 plus bescherming tegen manipulatie, inclusief wissen van de inhoud van het apparaat als een aanval vanuit de omgeving wordt gedetecteerd. |
Voor wie is FIPS-compatibel?
Federale instanties die gevoelige gegevens verzamelen, opslaan, delen, overdragen of verspreiden, evenals hun contractanten en leveranciers van cryptografische modules die aan de federale markt verkopen, moeten beschikken over een actuele FIPS-validatie. Veel organisaties buiten de federale sector streven vrijwillig naar FIPS-validatie, omdat dit internationaal wordt erkend als een basisnorm voor veilige cryptografische modules. Sommige gereguleerde sectoren, zoals de gezondheidszorg en de financiële dienstverlening, vereisen dit bovendien van leveranciers.
Wat is de FIPS-modus van Windows?
De FIPS-modus van Windows is een configuratie-instelling die het besturingssysteem beperkt tot FIPS-gevalideerde cryptografische algoritmen en sleutellengtes voor versleutelings- en ontsleutelingsbewerkingen. Het inschakelen ervan maakt een systeem op zich niet volledig FIPS-conform; de onderliggende cryptografische modules moeten nog steeds hun eigen actuele FIPS-validatie hebben.
Hoe encryptieconsultancy kan helpen
HSM-as-a-Service van Encryption Consulting draait op FIPS 140-3 gevalideerde hardware, en onze Encryption Advisory Services helpen organisaties bij het plannen van de migratie van FIPS 140-2 gevalideerde modules vóór de einddatum in september 2026. Ondersteund door ISO/IEC 27001:2022 en SOC 2 gecertificeerde werkwijzen.
Veelgestelde Vragen / FAQ
Is FIPS 140-2 nog steeds geldig?
FIPS 140-2-validatiecertificaten zullen op 21 september 2026 als verouderd worden beschouwd. Organisaties die nog steeds FIPS 140-2-gevalideerde modules gebruiken, dienen vóór die datum een ​​migratie naar FIPS 140-3-gevalideerde hardware en software te plannen.
Wat zijn de vier beveiligingsniveaus van FIPS 140-3?
De vier niveaus zijn: Niveau 1 (basisapparatuur van productiekwaliteit en één gevalideerd algoritme), Niveau 2 (voegt rolgebaseerde authenticatie en fraudebestendige apparaten toe), Niveau 3 (voegt fraudebestendige apparaten en identiteitsgebaseerde authenticatie toe) en Niveau 4 (voegt fraudebestendige, zelfwisbare bescherming toe).
Wat is een FIPS-code?
Een FIPS-code is een apart, onafhankelijk nummeringssysteem dat geografische gebieden in de VS, zoals staten en districten, uniek identificeert. Het heeft geen verband met de cryptografische module-standaarden die zijn gedefinieerd in FIPS 140-3.
Moet ik voldoen aan de FIPS-regelgeving als ik niet voor de federale overheid werk?
Buiten de federale overheid is het wettelijk niet verplicht, maar veel organisaties streven vrijwillig naar FIPS 140-3-validatie omdat het internationaal erkend wordt als basisnorm voor veilige cryptografische modules. Bovendien eisen sommige gereguleerde sectoren dit van hun leveranciers, ongeacht of ze een federaal contract hebben.
Migreer naar FIPS 140-3 gevalideerde modules.
Zet de volgende stap
Encryption Consulting helpt u bij het beoordelen van uw huidige FIPS 140-2-afhankelijkheden en de migratie naar FIPS 140-3-gevalideerde HSM's vóór de einddatum in september 2026. Ontdek meer. HSM-as-a-Service om FIPS 140-3 gevalideerde hardware in actie te zien.