在DataDomain上启用FIPS的提示(FIPS 140-2标准)

在DataDomain上启用FIPS的提示:

启用FIPS 140-2合规模式将使所有本地用户密码无效。

在此过程中,系统管理员和一名安全官员(如果启用)的密码将更改。文件访问将被中断,系统将重新启动。只有当客户端与FIPS兼容时,应用程序才能恢复。有关更多信息,请参阅您的DDOS管理指南。

什么是 FIPS 140-2?

FIPS (联邦信息处理标准)140-2 是美国政府标准,该标准描述了用于存储敏感但未分类数据的 IT 产品所要满足的加密和相关安全要求。

FIPS 140-2 具体规定了什么?

该标准确保产品采用有效的安全实践,例如经过验证的、强力加密算法和方法。为了能够应用产品,它还规定如何对个人和其它工艺流程进行授权,以及如何设计模块或组件以确保能够安全地与其它系统互操作。

为什么需要加密?

硬盘会不断报废(质保退货、维修或租约到期、或重新用于其他存储任务或出售)、丢失或失窃。当未受保护的硬盘脱离了所有者的控制并失去保护,公司将会面临失去营收、市场份额和客户信任的风险。他们可能因违反数据隐私法规而受到民事处罚。这对任何组织都是灾难性的,尤其是中小型企业 (SMB)。

希捷估计,每天有 50,000 台硬盘离开数据中心,其中包含着以 TB 计的数据。
IBM 预计,百分之九十的质保退货的硬盘中都包含可读数据。
根据业内专业机构的研究,例如 Ponemon Institute,每次数据外泄造成的平均损失正在逐年上升,2008 年平均为 660 万美元,或每条泄露的记录为 202 美元。1

Ponemon Institute 进一步预测,81% 的笔记本电脑包含敏感数据,而所有笔记本电脑中多达 10% 电脑在终生使用期间会丢失或失窃。另外据估计,仅在美国机场,每周就有 12,000 笔记本电脑丢失或失窃。当笔记本中含有敏感但未加密的数据丢失时,企业将平均损失将近 50,000 美元。在极端案例中,损失可能接近一百万美元。2

FIPS 140-2 有哪些不同的等级?

FIPS 140-2 定义了 4 个安全等级。FIPS 140-2 验证将指定产品要遵守的安全等级。

  • 等级 1,通常用于仅软件加密产品,安全要求非常有限。所有组件必须达到制造等级,不能存在任何极其严重的不安全因素。

  • 等级 2 要求基于角色的认证。(不要求个人用户认证。)它还要求具有通过使用物理锁定或防篡改签章识别物理篡改的能力。

  • 等级 3 添加了物理篡改预防措施,防止拆卸或修改,让非法侵入的难度更大。如果检测到篡改,设备必须能够擦除关键安全参数。等级 3 还包括强大加密保护和密钥管理、身份授权、界面间的物理或逻辑分隔(通过该分隔来输入和保留关键安全参数)。

  • 等级 4 包含高级篡改保护,专为要在未受物理保护的环境中运行的产品而设计。

哪些产品与 FIPS 140-2 有关?

FIPS 140-2 适用于任何可能存储或传送敏感数据的产品。这包含硬件产品,例如链接加密器、硬盘、闪存盘或其他可移除的存储介质。同时还包括传输或保存期间对数据进行加密的软件产品。

我真的需要这么多安全性吗?操作系统密码难道还不够吗?

通过将硬盘移出并将其安装到其它计算机上,可以轻松绕过操作系统的安全性,例如密码。如果不同时采取诸如希捷自加密硬盘的措施,即使是 BIOS ATA 硬盘密码都可能被破解。对硬盘或存储介质上的数据进行加密,是保护数据的可靠方法。

哪些组织或企业需要符合 FIPS 140-2 要求?

在美国,美国国家标准与技术研究所要求所有联邦机构使用 FIPS 140-2 Level 2 Validated™ 产品,以确保计算机或电信系统内(包含语音系统)内敏感但未分类的数据的安全。3 在加拿大,通信安全部 (CSE) 要求联邦机构使用经过 FIPS 140-2 等级 2 认证的加密模块,以确保计算机或电信系统内(包含语音系统)内受保护信息(A 或 B)数据的安全。如要希望加密产品能够列入加拿大政府的 ITS 预获资格 产品名录,FIPS 140 认证是一项必需的前提条件。3 在英国,英国通讯电子安全组织 (Communications-Electronics Security Group) 推荐使用通过 FIPS 140 认证的加密模块。

在世界范围内,与需要 FIPS 140-2 加密合规性的美国、加拿大或英联邦政府组织签订合同的民营公司,也被要求达到该认证要求。另外,全世界范围内的商业公司 - 尤其是金融、医疗、教育和基础设施(国家安全)行业的各级公司 - 越来越需要具备 FIPS 140-2 合规性。这些公司希望遵循数据保护的最高标准。他们认识到了通过 FIPS-140 认证的艰难,发现它是较好的安全标准,并且选择依赖此标准来满足其自身的加密需要。

什么是 FIPS 140-2 认证?

FIPS 140-2 认证是一种测试和认证程序,检验产品是否达到 FIPS 140-2 标准。NIST 已经建立了加密模块认证程序 (CMVP) 来验证产品是否达到要求。

获得 FIPS 140-2 证书需要哪些条件呢?

要成为 FIPS 140-2 Validated™,产品必须遵守规定的设计和实施要求,并由 NIST 授权的 13 个独立实验室中的一家进行测试和批准。

目前采用的哪个 FIPS 140 标准?

编号为 140 的 FIPS 出版物是一系列安全标准的集合,其中规定了对加密模块的具体要求。FIPS 140-1 颁布于 1994 年,但已经被 FIPS 140-2 取代,FIPS 140-2 颁布于 2001 年,为现行标准。FIPS 140-3 是该标准的新版本,从 2005 年起开始制定。其草稿于 2009 年 12 月颁布,大概需要一到两年才能取代 FIPS 140-2。

点赞

发表评论

电子邮件地址不会被公开。必填项已用 * 标注