Федеральный стандарт обработки информации

Федеральный стандарт обработки информации (Federal Information Processing Standard, FIPS) — это совокупность открытых стандартов и спецификаций, разрабатываемых и публикуемых Национальным институтом стандартов и технологий США (NIST) для использования в компьютерных системах федеральных органов исполнительной власти США. Стандарты FIPS определяют требования к криптографическим алгоритмам, методам аутентификации, форматам данных, безопасности информационных систем и другим аспектам обработки информации.

История

Разработка стандартов FIPS началась в 1960-х годах в рамках усилий правительства США по унификации компьютерных систем и обеспечению их совместимости. Первоначально стандарты разрабатывались Национальным бюро стандартов США (NBS), которое в 1988 году было преобразовано в NIST. Первый стандарт FIPS (FIPS 1) был опубликован в 1968 году и касался форматов передачи данных.

Ключевым этапом стало принятие в 1977 году стандарта FIPS 46, известного как Data Encryption Standard (DES). Этот алгоритм шифрования стал первым общедоступным криптографическим стандартом, одобренным правительством США. DES использовался в федеральных информационных системах до 2005 года, когда был официально заменён на Advanced Encryption Standard (AES, FIPS 197).

В 1990-х годах NIST начал активное сотрудничество с международными организациями по стандартизации (ISO, IEEE) для гармонизации FIPS с глобальными стандартами. После терактов 11 сентября 2001 года акцент сместился на усиление требований к кибербезопасности, что привело к разработке новых стандартов для криптографических модулей (FIPS 140) и методов аутентификации (FIPS 201).

Классификация стандартов FIPS

Стандарты FIPS охватывают широкий спектр областей. Основные категории включают:

Криптографические стандарты

• FIPS 197 (AES) — алгоритм симметричного шифрования с длиной ключа 128, 192 или 256 бит. Является обязательным для защиты конфиденциальной информации в федеральных системах.
• FIPS 186 (DSA, ECDSA, RSA) — стандарт цифровой подписи, определяющий алгоритмы для создания и проверки электронных подписей.
• FIPS 180 (SHA-1, SHA-2) — стандарт безопасного хеширования, включающий алгоритмы SHA-1, SHA-256, SHA-384 и SHA-512.
• FIPS 202 (SHA-3) — последняя версия стандарта хеширования, основанная на алгоритме Keccak.

Стандарты безопасности

• FIPS 140 (Security Requirements for Cryptographic Modules) — серия стандартов, устанавливающих требования к аппаратным и программным криптографическим модулям. Версия FIPS 140-2 (2001 год) и FIPS 140-3 (2019 год) определяют четыре уровня безопасности (от уровня 1 до уровня 4), включая требования к физической защите, управлению ключами и тестированию.
• FIPS 201 (Personal Identity Verification) — стандарт для создания и использования карт смарт-карт для аутентификации сотрудников федеральных органов власти (PIV-карты).

Стандарты данных и форматов

• FIPS 55 (Codes for Named Populated Places) — кодификатор географических названий населённых пунктов США.
• FIPS 10-4 (Countries, Dependencies, Areas of Special Sovereignty) — стандарт двухбуквенных кодов стран (например, US, RU, CN).
• FIPS 6-4 (Counties and Equivalent Entities of the United States) — коды округов и эквивалентных административных единиц США.

Устройство и требования

Каждый стандарт FIPS представляет собой детализированный документ, содержащий:

Технические спецификации

• Математическое описание алгоритмов (для криптографических стандартов).
• Требования к реализации (например, минимальная длина ключа, режимы шифрования).
• Процедуры тестирования и валидации.

Уровни безопасности (для FIPS 140)

• Уровень 1 — базовые требования (например, использование сертифицированного алгоритма).
• Уровень 2 — дополнительная защита от несанкционированного доступа (например, пломбы, ролевая аутентификация).
• Уровень 3 — защита от физического взлома (например, датчики вскрытия, защита ключей).
• Уровень 4 — максимальная защита (например, устойчивость к экстремальным температурам и электромагнитным воздействиям).

Процесс сертификации

Для соответствия стандартам FIPS продукты проходят тестирование в аккредитованных лабораториях (Cryptographic Module Testing Laboratories, CMTL) и получают сертификат NIST. Сертификация обязательна для всех криптографических модулей, используемых в федеральных информационных системах США.

Применение

Стандарты FIPS обязательны для использования в следующих сферах:

Федеральные органы власти США

• Все криптографические системы, используемые для защиты информации уровня «Confidential» и выше, должны соответствовать FIPS 140.
• PIV-карты (FIPS 201) используются для доступа к зданиям, компьютерным системам и электронным документам.

Коммерческий сектор

• Многие международные компании (например, Microsoft, Oracle, IBM) включают поддержку FIPS в свои продукты для работы с правительственными контрактами.
• Банки и финансовые организации используют FIPS 197 для защиты транзакций.

Международное сотрудничество

• Некоторые страны (Канада, Австралия, Япония) приняли FIPS в качестве национальных стандартов или используют их как основу для собственных разработок.
• Стандарты FIPS часто упоминаются в международных договорах о кибербезопасности.

Критика

Стандарты FIPS подвергаются критике по нескольким причинам:

• Закрытость разработки — до 1990-х годов процесс создания стандартов был непрозрачным, что вызывало подозрения в наличии «закладок» (например, в DES).
• Отставание от технологий — некоторые стандарты (например, SHA-1) были признаны уязвимыми, но их замена заняла годы.
• Ограничение инноваций — обязательное использование FIPS может препятствовать внедрению более современных алгоритмов (например, постквантовой криптографии).
• Сложность сертификации — высокая стоимость и длительность тестирования (до 12 месяцев) затрудняют выход на рынок малых компаний.

Интересные факты

• Стандарт FIPS 46 (DES) был разработан при участии АНБ США, что породило слухи о наличии «лазеек» для спецслужб.
• В 2013 году NIST рекомендовал прекратить использование SHA-1 из-за уязвимости к коллизиям, но полный переход на SHA-2 занял более 5 лет.
• FIPS 140-3 ввёл требования к защите от квантовых атак, хотя практическая реализация таких атак пока не подтверждена.

См. также

• Advanced Encryption Standard
• Национальный институт стандартов и технологий (NIST)
• Криптографический модуль
• PIV-карта

Источники

• NIST Special Publication 800-175B: Guideline for Using Cryptographic Standards in the Federal Government
• FIPS 140-3: Security Requirements for Cryptographic Modules (2019)
• FIPS 197: Advanced Encryption Standard (2001)
• FIPS 186-5: Digital Signature Standard (2023)
• FIPS 202: SHA-3 Standard: Permutation-Based Hash and Extendable-Output Functions (2015)
• FIPS 201-3: Personal Identity Verification (PIV) of Federal Employees and Contractors (2022)