FIPS的强大力量

Jay Kelley产品营销高级经理 | F5

如果您供职于世界各地的政府机构，或从事医疗保健、金融服务、法律服务等涉及敏感但非密（SBU）数据收集和传输的业务，那么您可能已经熟悉联邦信息处理标准（FIPS）。

如果还不了解，下面是简要介绍：

FIPS是美国政府针对多种安全领域制定的标准，由美国和加拿大政府机构负责管理，具体包括美国国家标准与技术研究院（NIST）和加拿大通信安全局（CSE）。

FIPS包含许多不同的要求，分别涉及不同的安全要素。例如，FIPS 197即高级加密标准（AES）；FIPS 201则规定了联邦雇员和承包商的个人身份验证（PIV），并以此为依据制定了许多政府机构用于身份验证的PIV卡。

在网络和云安全领域，与我们密切相关的一项FIPS要求是FIPS 140-2。该标准适用于加密模块安全认证，即对执行加密功能的硬件、软件和固件组合进行安全验证和认证。除注重安全的企业外，许多美国联邦机构和加拿大政府机构也要求其网络和安全设备遵循并符合FIPS 140-2。

FIPS 140-2规定了另外4个安全级别，从级别1到级别4。级别1要求使用经批准的密码算法、在系统内划定安全边界，并验证加密组件的初始化。级别4除涵盖其他3个级别的要求外，还要求为经过安全加固的物理外壳提供环境及其他物理防护；如果检测到物理攻击，则将密钥清零。

最常采用的标准是 FIPS 140-2 Level 2 和 FIPS 140-2 Level 3。Level 2 要求采用防篡改留痕措施，以表明是否有人以物理方式访问过加密密钥或安全参数；Level 3 则在 Level 2 的防篡改留痕方法之外增加了抗篡改能力和额外的检测手段，并要求对物理访问尝试以及加密模块的使用或篡改作出响应。简而言之，这些 FIPS 安全级别有助于网络人员了解是否有恶意行为者访问过或试图访问加密密钥。

对于政府机构以及金融服务机构（FSI）、法律和医疗保健等注重安全的企业而言，FIPS的重要价值在于保护加密密钥和安全参数，并提供内置威胁防御。符合FIPS要求可确保联邦机构和安全要求较高的企业持续遵守政府和行业法规，例如支付卡行业数据安全标准（PCI DSS）、健康保险流通与责任法案（HIPAA）、国际武器贸易条例（ITAR）等。FIPS提供多层物理和逻辑安全保护，防止数据遭窃取，并抵御第3层和第4层攻击（包括网络和DNS攻击）以及第7层攻击（SSL和HTTP攻击）。

由此，F5的BIG-IP 10350v-F平台应运而生。该平台采用支持FIPS 140-2第3级认证的新一代硬件安全模块（HSM），是F5首款支持FIPS 140-2第3级认证的平台。BIG-IP 10350v-F平台利用防篡改留痕HSM及其他物理安全措施保护密钥存储。借助HSM，BIG-IP 10350v-F可帮助政府机构、金融服务机构及其他注重安全的企业安全扩展，同时满足当前不断提高的SSL性能要求。该平台可提供出色的SSL批量加密性能和更具优势的性价比。10350v-F可简化证书管理并降低合规成本。

不过，您可能会问，HSM为何如此重要？难道不能只使用软件加密库吗？每项部署都必须评估需要保护的资料。FIPS 140-2 1级和2级可在一定程度上证明所用加密技术已通过相应的保障和实施审查，但许多政府机构及其他敏感项目需要更高级别的保护。对于这些项目，只有采用符合FIPS 140-2 3级要求的HSM，才能满足个人身份信息（PII）和受保护健康信息（PHI）的保护要求。此外，HSM可保障加密操作的安全并保护关键加密密钥，同时隔离管理域与安全域，并对密钥使用实施策略控制。

F5 BIG-IP 10350v-F平台具备出色的可扩展性，可增强安全性和密钥保护，并提高成本效益。该平台支持的用例包括SSL卸载、可见性和加速，以及通过气隙功能或结合F5的Secure Web Gateway (SWG) Services实现正向代理。

任何涉及敏感非密数据收集、存储和分发的政府机构和企业，都应关注符合FIPS 140-2标准的网络与安全产品。此外，任何希望保障敏感数据安全的机构和企业，都应重视确保其加密密钥的安全；这些组织需要达到FIPS 140-2第3级要求。

因此，这些机构和企业都需要F5 BIG-IP 10350v-F平台。该平台在配备硬件安全模块（HSM）的应用交付控制器（ADC）中，可提供极具成本效益的每FIPS TPS成本。

关于作者

Jay Kelley产品营销高级经理 | F5

Jay Kelley 的更多博客文章