FIPS 140-3: de Amerikaanse keurmerk-standaard voor cryptografie
Stel je voor dat elke kluis die een bank verkoopt eerst door een onafhankelijk lab moet worden opengebroken, geplet en doorgemeten voordat hij het predicaat "inbraakwerend" mag dragen. Zoiets is FIPS 140-3, maar dan voor digitale kluizen: de chips, kaartjes en softwaremodules die geheime sleutels vergrendelen en versleutelen. Het is een Amerikaanse overheidsstandaard die voorschrijft hoe cryptografische apparatuur en software getest en gecertificeerd moeten worden voordat ze veilig genoeg worden geacht voor gevoelig gebruik.
De afkorting staat voor Federal Information Processing Standard, publicatienummer 140, derde versie. Het is geen encryptie-algoritme op zich – FIPS 140-3 zegt niets over of AES of RSA veilig is – maar een keurmerk voor de verpakking eromheen: is de sleutel goed opgeslagen, kan iemand er met een schroevendraaier of een stroomstoot bij, en werkt de software zoals beloofd? Denk aan een bankpas-chip, een hardware-sleutelkastje (HSM) in een datacenter, of de cryptografische module diep in een besturingssysteem.
Wat is het precies?
FIPS 140-3 wordt uitgegeven door NIST, het Amerikaanse National Institute of Standards and Technology, het overheidsinstituut dat ook de meeste cryptografische algoritmes standaardiseert. De standaard zelf is relatief kort: hij verwijst grotendeels naar twee internationale ISO-normen, namelijk ISO/IEC 19790 (de veiligheidseisen) en ISO/IEC 24759 (hoe je die eisen precies test). NIST heeft er dus voor gekozen om aan te sluiten bij bestaande internationale normen in plaats van een geheel eigen Amerikaans stelsel te blijven onderhouden, zoals de voorganger FIPS 140-2 nog wel deed.
Een cryptografische module wordt getoetst op elf gebieden: van de kwaliteit van het ontwerp en de documentatie tot fysieke beveiliging, sleutelbeheer, zelftests en bestendigheid tegen zogeheten side-channel-aanvallen (aanvallen die geheimen aflezen via stroomverbruik, timing of elektromagnetische straling in plaats van de beveiliging direct te kraken). Op basis daarvan krijgt een module een van vier security levels, van 1 (basis, vooral softwarematig) tot 4 (bestand tegen fysieke manipulatiepogingen, met sensoren die zichzelf wissen bij een inbraakpoging).
Het testen gebeurt niet door NIST zelf, maar door onafhankelijke, geaccrediteerde testlaboratoria. Die dienen hun rapport in bij het Cryptographic Module Validation Program (CMVP), dat wordt beheerd door NIST samen met het Canadian Centre for Cyber Security (CCCS). Pas na goedkeuring door het CMVP krijgt een module een certificaatnummer en verschijnt hij op de openbare validatielijst.
Wat wil men ermee bereiken?
Het doel is simpel geformuleerd: voorkomen dat organisaties vertrouwen op cryptografie die er op papier goed uitziet, maar in de praktijk lek is doordat sleutels slordig worden opgeslagen of een chip fysiek te manipuleren valt. Encryptie is namelijk zo sterk als de zwakste schakel, en die schakel zit vaak niet in het wiskundige algoritme maar in de implementatie eromheen.
Voor de Amerikaanse federale overheid is FIPS 140-validatie verplicht: agentschappen mogen wettelijk gezien geen cryptografische producten inkopen of gebruiken die niet gevalideerd zijn wanneer die gevoelige, niet-geclassificeerde informatie beschermen. Dat maakt de standaard tot een verplichte poort naar een enorme markt, en daardoor is FIPS 140 ook buiten de VS de facto een kwaliteitskeurmerk geworden. Banken, cloudproviders, defensiebedrijven en zelfs overheden elders ter wereld vragen er vaak om, simpelweg omdat het een van de weinige onafhankelijk geverifieerde standaarden is in een veld waar je een beveiligingsclaim niet met het blote oog kunt controleren.
Voorbeelden uit de praktijk
Grote cloudaanbieders laten hun hardware-sleutelkluizen (HSM's) regelmatig valideren. AWS CloudHSM draait bijvoorbeeld op hardware die FIPS 140-2 Level 3-gevalideerd is, en Amazon werkt aan opvolging onder FIPS 140-3 naarmate meer testlabs die nieuwe versie ondersteunen. Microsoft Azure Key Vault Managed HSM steunt eveneens op FIPS-gevalideerde hardwaremodules voor klanten in gereguleerde sectoren.
Een bekend en veelbesproken geval is de OpenSSL FIPS-provider, een module die rond 2021-2023 door het OpenSSL-project apart werd ontwikkeld zodat de wijdverbreide opensource-cryptobibliotheek FIPS-gevalideerd kon worden ingezet. Het traject liep vertraging op door de drukte bij het CMVP, wat illustreert hoe zwaar het validatieproces weegt, ook voor grote, goed gefinancierde projecten.
Hardwarefabrikanten als Thales (Luna HSM's) en Entrust (nShield HSM's) hebben al jarenlang reeksen producten met FIPS 140-2 Level 3-certificering en zijn bezig met de overstap naar 140-3-varianten. Ook consumentenapparaten ontsnappen er niet aan: beveiligingssleutels van Yubico (de YubiKey FIPS-serie) zijn FIPS 140-2 gevalideerd voor gebruik door Amerikaanse overheidsmedewerkers die inloggen met een hardwaresleutel.
Hoe ver is de techniek?
FIPS 140-3 werd in maart 2019 door NIST goedgekeurd en trad op 22 september 2019 officieel in werking als vervanger van FIPS 140-2 uit 2001. Sindsdien is er een lange overgangsperiode geweest: testlaboratoria mochten nog jaren nieuwe producten laten toetsen aan het oudere FIPS 140-2, en veel bestaande FIPS 140-2-certificaten blijven geldig tot een vastgestelde "sunset"-datum, waarna ze de status "historical" krijgen en niet langer als actueel gelden voor nieuwe overheidsinkoop.
Een terugkerend punt van kritiek uit de industrie is de doorlooptijd van het CMVP-proces zelf. Fabrikanten en onderzoekers melden al enkele jaren dat de wachtrij voor validatie lang is, soms wordt gesproken over vertragingen van meerdere jaren tussen indiening en certificaat. NIST heeft daarop het proces proberen te versnellen, onder meer door meer geautomatiseerde testtools toe te staan, maar het blijft een aandachtspunt: het risico is dat producten met verouderde cryptografische keuzes nog jarenlang "gevalideerd" blijven omdat een update opnieuw door het hele traject moet, terwijl nieuwere, mogelijk betere implementaties nog in de wachtrij staan. Dat spanningsveld tussen zorgvuldigheid en snelheid is niet opgelost en waarschijnlijk ook niet volledig oplosbaar zonder meer testcapaciteit.
Wie werken eraan?
De standaard zelf wordt beheerd door NIST (VS), in samenwerking met het Canadian Centre for Cyber Security voor de gezamenlijke uitvoering via het CMVP. De daadwerkelijke tests worden gedaan door onafhankelijke, door NIST erkende testlaboratoria (in de VS geaccrediteerd via het NVLAP-programma), verspreid over de Verenigde Staten, Canada en enkele andere landen.
Aan de kant van de industrie zijn het vooral grote cloud- en hardwarebedrijven die actief modules laten certificeren: Amazon, Microsoft, Google, Thales, Entrust, IBM, Cisco en gespecialiseerde HSM-bouwers als Utimaco. Ook opensourceprojecten zoals OpenSSL en besturingssystemen (bijvoorbeeld cryptografische kernmodules in Linux-distributies, Windows en macOS) laten hun cryptografische kernonderdelen valideren, omdat overheidsklanten en gereguleerde sectoren zoals de financiële wereld en de zorg dat keurmerk vaak eisen. In Nederland en de EU is FIPS 140-3 geen wettelijke verplichting, maar wordt het in de praktijk vaak als kwaliteitsindicator meegenomen naast Europese kaders zoals de Common Criteria.