FIPS 140-3 sertifikalarının hiçbirinde Seviye 4 doğrulaması bulunmuyor
Öne çıkanlar
- Yayımlanan 773 FIPS 140-3 sertifikasının yüzde 74'ünü Seviye 1, yalnızca 60 tanesini Seviye 3 oluşturdu.
- Tüm FIPS 140-3 veri tabanında Seviye 4 düzeyinde doğrulanmış tek bir aktif sertifika bulunmuyor.
- 21 Eylül itibarıyla tüm FIPS 140-2 sertifikaları geçerliliğini yitirerek arşiv listesine taşınacak.
ABD federal kriptografi standardı FIPS 140-3 kapsamında yayımlanan 773 sertifikanın hiçbirinin en üst güvenlik düzeyi olan Seviye 4'e ulaşmadığı belirlendi. Kurumsal şartnamelerde sıkça yer alan "FIPS Seviye 3 veya üzeri" ifadesinin piyasada karşılığı bulunmadığını gösteren analiz, 21 Eylül'de tüm FIPS 140-2 sertifikalarının geçerliliğini yitirerek arşiv listesine taşınması öncesinde yayımlandı.
İncelenen 773 sertifikanın yüzde 74'ünü (569 sertifika) fiziksel güvenlik şartı aramayan yazılım tabanlı Seviye 1 oluştururken, yüzde 19'u Seviye 2, yüzde 8'i ise Seviye 3 düzeyinde kaldı. Standartta genel seviye, modülün test edildiği 11 farklı alan arasındaki en düşük puan üzerinden belirleniyor. Piyasada HSM cihazları en fazla Seviye 3 gereksinimlerini karşılarken, geçmişte Seviye 4 doğrulaması alan sınırlı sayıdaki anaçatı kriptografik yardımcı işlemcisinin FIPS 140-2 arşivine girmesiyle bu kategori tamamen boş kaldı.
Analizde, yan kanal saldırılarına karşı koruma ve kriptografik sınır dışındaki güvenlik unsurlarının FIPS seviyeleri tarafından doğrudan test edilmediğine dikkat çekildi. Uzmanlar, yazılım için Seviye 1'in, donanım içinse Seviye 3'ün hedeflenmesini ve şartnamelerde anlam taşımayan "veya üzeri" ifadelerinin bırakılmasını önerdi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.