Guía de FIPS 140-3

After 22 years, the National Institute of Standards and Technology (NIST) has released an update to the Federal Information Processing Standard (FIPS). The update brings the standard series up to speed with the evolution of cryptographic modules that has occurred since the last update in 2001.

FIPS 140-3 matters to any entities handling information that is sensitive to the United States or Canadian governments and their departments.

¿Qué es FIPS 140-3?

La serie de normas FIPS es un producto del Programa de Validación de Módulos Criptográficos (CMVP), un esfuerzo coordinado entre el NIST y el Centro Canadiense de Seguridad Cibernética. 

La serie de normas FIPS es un mandato de los gobiernos de Estados Unidos y Canadá para garantizar la protección de la información sensible pero no clasificada (SBU) por parte de sus socios, proveedores y tecnologías. La serie FIPS 140 impone un esquema de validación universal para todos los módulos criptográficos implicados en programas tecnológicos utilizados por el gobierno y las industrias altamente reguladas. 

Técnicamente, el cumplimiento de la norma FIPS es obligatorio para las agencias gubernamentales, sus contratistas y socios externos, y las organizaciones de ciberseguridad que venden a industrias de alto nivel de gobierno. Sin embargo, la norma ha sido ampliamente adoptada en todo el mundo como marco de seguridad razonable y mejor práctica.

El predecesor de la nueva norma, FIPS 140-2, está en vías de desaparición. La CMVP dejó de aceptar presentaciones de FIPS 140-2 para nuevos certificados de validación en 2022 y trasladará los módulos FIPS 140-2 activos a la lista histórica en 2026.

A medida que FIPS 140-3 se convierte en la norma, las organizaciones deben cumplirla para seguir prestando servicio y evitar las fuertes sanciones impuestas por el NIST. 

FIPS 140-2 frente a FIPS 140-3: ¿Cuál es la diferencia?

FIPS 140-2 y 140-3 difieren en algunos aspectos significativos. Principalmente, FIPS 140-3 especifica los requisitos de seguridad en cada etapa de la creación de un módulo criptográfico -fases de diseño, implementación y despliegue- y no solo después de su finalización. 

Hay algunas otras actualizaciones a tener en cuenta:

• Mientras que FIPS 140-2 asumía que todos los módulos eran módulos hardware , FIPS 140-3 abordará los módulos hardware, firmware, software, híbridos software, e híbridos firmware.
• FIPS140-2 IG 1.9 restringía los módulos híbridos a una validación FIPS 140-2 de nivel 1, pero en FIPS 140-3 no hay restricciones en cuanto al nivel al que se puede validar un módulo híbrido. 
• FIPS 140-2 exigía que los módulos soportasen una función de cifrado y una función de usuario, con una función de mantenimiento opcional. En FIPS 140-3, la única función requerida es la de oficial de cifrado.
• Para los niveles 1-3, FIPS 140-2 y 140-3 son bastante similares. Sin embargo, FIPS 140-3 exige autenticación multifactor en el nivel 4. 

Niveles de FIPS 140-3

Para garantizar que la tecnología cumple el nivel de seguridad necesario, la certificación FIPS 140-3 evalúa cuatro niveles de seguridad. Cada nivel establece sus propios criterios para los algoritmos criptográficos.

Level 1
This is the lowest level of security and requires the most basic encryption and key management capabilities. It is the level that software-only modules are certified at. 

Level 2
Level 2 starts to address physical security measures meant to guard against unauthorized access to the module (role based access) and detect physical tampering. 

Level 3
This level requires a more intense grade of physical security, at this level the hardware is expected to prevent tampering and access must be identity based.

Level 4
The highest level of physical and logistical security controls, Level 4 is designed to prevent the most sophisticated attacks and for the module to actively destroy any private keys and other security parameters if it detects some attacks.

Futuras actualizaciones de la serie FIPS 140

FIPS 140-3 aborda los módulos hardware, de firmware, software, híbridos software, e híbridos de firmware. La mejora de FIPS 140-2 ofrece una vía clara para implementar y certificar módulos híbridos que puedan hacer uso de tecnologías como Java Native Interface (JNI) para soportar la aceleración de hardware al tiempo que permiten que el módulo siga siendo funcional utilizando Java puro si la aceleración de hardware no está disponible.

La criptografía poscuántica (PQC) se ha convertido en un tema de tendencia, y se espera que la ronda inicial de normas PQC se publique a principios de 2024. Aunque FIPS 140-3 en sí no trata sobre PQC, cualquiera que desee certificar cualquiera de los algoritmos PQC, incluido el SP 800-208, tendrá que estar haciendo FIPS 140-3. Aparte del cese oficial de las pruebas de nuevos módulos 140-2, la única guía de implementación sobre algo de PQC aparece para 140-3. Si un módulo desea ser compatible con cualquiera de las normas PQC en modo aprobado por FIPS, tiene que tener la certificación FIPS 140-3. Es muy importante que los proveedores de módulos criptográficos que deseen certificarse con los nuevos algoritmos PQC y estar preparados para la cuántica desarrollen ya una estrategia de migración a FIPS 140-3.

Más información

Need help implementing cryptography? Experts are at the ready with Crypto Workshop by Keyfactor. Bouncy Castle APIs are open-source and owned by Australian-based software charity, Legion of the Bouncy Castle. Crypto Workshop is the commercial wing of the Bouncy Castle project — committed to ongoing development, FIPS certification, and support services.

Connect with us to learn more about:

Cryptography expertise
Get implementation guidance and technical support right from the developers of Bouncy Castle, backed by SLAs.

FIPS certification
Access the full test suite and FIPS-certify under the supported customer’s product and company name.

Post-quantum readiness
Begin working with post-quantum algorithms in your test environment with support from our experts.