Регистрация Войти
Рейтинг:4
JohnAndrews avatar Crypto

Почему Google Cloud принял более низкий уровень FIPS 140-2 по сравнению с IBM Cloud?

флаг th
JohnAndrews

FIPS 140-2 — это стандарт, который обрабатывает криптографические модули и те, которые организации используют для шифрования данных в состоянии покоя и данных в движении. FIPS 140-2 имеет 4 уровня безопасности, причем уровень 1 является наименее безопасным, а уровень 4 — наиболее безопасным.

Google Cloud имеет более низкий уровень (уровень 3) по сравнению с IBM Cloud (уровень 4). Интересно, почему Google решил принять этот более низкий уровень? Я предполагаю, что Google принял это решение сознательно, и что разница не должна представлять слишком большого риска, поскольку Google принимает хорошо информированные решения.Но если это так, то какие могли быть причины?

Что еще более важно, если вы управляете бизнесом SaaS в Финансах, который хранит конфиденциальные данные, следует ли учитывать эту разницу, следует ли выбрать переход на IBM Cloud или Google Cloud?

Ресурсы:

3144
0 + 0
Рейтинг:23
fgrieu avatar Crypto
флаг ng
fgrieu

В вопросе проводится сравнение яблока с апельсином: Google уровня 1 Сертификат №3318 для «библиотеки программного обеспечения», уровень IBM-4 свидетельство №3410 для «Аппаратного модуля безопасности криптографического сопроцессора PCIe». Программное обеспечение просто не может получить сертификат FIPS 140-2 уровня 3 или 4, потому что некоторые поля в контрольном списке (например, об обнаружении физического вторжения) просто не применимы к программному обеспечению.

И тогда вопрос принимает эти сертификаты за то, чем они не являются: сертификаты о безопасности облачного сервиса. Например. IBM Cloud определенно не сертифицирована по FIPS 140-2 уровня 4: возможно, где-то используется какая-то штуковина. В любом случае использование гаджета (программного или аппаратного) в облачной службе не является удовлетворительным показателем безопасности указанной службы.

Остальная часть вопроса сводится к архитектурному выбору ИТ-решений и восприятию их безопасности лицами, принимающими решения, на основе неправильно примененных технических аргументов. Таким образом,тема.

0 + 0
poncho avatar
флаг my
poncho
На самом деле программная библиотека не может получить что-либо выше «уровня 1 FIPS»; Google сделал все, что позволяли правила NIST...
10
Ответить
Swashbuckler avatar
флаг mc
Swashbuckler
@пончо, на самом деле это не так. Вы можете получить уровень 2 с помощью программного обеспечения (странно, но факт!). Сегодня активен только один: https://csrc.nist.gov/projects/cryptographic-module-validation-program/certificate/3453, однако в прошлом были и другие.
8
Ответить
флаг us
Sam Ginrich
«яблоко-апельсин», существуют ли общие согласованные меры безопасности, такие как «риск в долларах»?
0
Ответить
Рейтинг:7
Swashbuckler avatar Crypto
флаг mc
Swashbuckler

Google (GCP) предоставляет HSM уровня 3, см. https://cloud.google.com/kms/docs/hsm. Очевидно, они не получили подтверждение от своего имени.

0 + 0
Рейтинг:7
avatar Crypto
флаг cn
A B

Я бы не стал предполагать, что разница в выбранных уровнях FIPS 140-2 вообще что-то говорит об относительной безопасности двух систем.

Проверка FIPS 140-2 вызывает споры в криптографическом сообществе. Как правило, люди применяют его только в том случае, если они хотят продавать клиентам из правительства США, которые по закону обязаны его соблюдать.

Критики сказали бы, что FIPS 140-2 в лучшем случае избыточен для современного анализа безопасности, а в худшем — активно вредит безопасности, затрудняя исправление ошибок или рефакторинг криптографических библиотек с улучшениями. (Любые изменения вызывают повторную проверку, которая требует времени и денег.)

От Мэтью Грина, криптографа из Университета Джонса Хопкинса:

https://blog.cryptographyengineering.com/2012/01/02/openssl-and-nss-are-fips-140-certified/

Честно говоря, никто ни в проекте OpenSSL, ни в Mozilla не утверждает, что соответствие FIPS делает эти библиотеки волшебным образом безопасными. Я уверен, что они не только знают лучше, но и проклинают FIPS в частном порядке за закрытыми дверями, потому что это требует большого количества дополнительного кода в обмен на сомнительное преимущество безопасности.

От Даррена Моффата, который работал над внедрением проверки FIPS 140-2 для Solaris:

https://blogs.oracle.com/solaris/post/is-fips-140-2-actively-harmful-to-software

Так должен ли я запускать Solaris 11 с включенным режимом FIPS 140-2?

Мое личное мнение таково, что если у вас нет очень жестких требований, я бы не стал...

0 + 0
Swashbuckler avatar
флаг mc
Swashbuckler
Пара моментов: 1) На самом деле многим организациям нравится слышать, что продукт соответствует требованиям FIPS, помимо правительства США. Как правило, это крупные игроки, которые ведут дела с правительством или регулируются им, например, штаты, крупные финансовые компании и т. д. 2) Большинство клиентов признают, что используемый модуль не был проверен, поэтому вы можете эффективно исправлять ошибки без повторной проверки. - что дорого и требует много времени (особенно в наши дни с COVID). Кроме того, можно создать модуль, в котором исправления не требуют повторной проверки. См. в качестве примера OpenSSL.
1
Ответить
Рейтинг:0
MAB avatar Crypto
флаг us
MAB

GCP использует стороннего OEM-производителя для своего Cloud HSM, но они не предоставляют публично никакой информации о том, кто этот поставщик (или, по крайней мере, я не нашел). Вот как они могут претендовать на уровень 3 FIPS 140-2, фактически не находясь в списке NIST для сертификации под своим собственным именем.

0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.