La fuerza de FIPS

Jay KelleyGerente sénior de marketing de producto | F5

Si trabaja para alguno de los numerosos gobiernos de todo el mundo o en los sectores sanitario, financiero o jurídico, o en cualquier otra empresa que se ocupe de la recopilación y transmisión de datos sensibles pero no clasificados (SBU), probablemente ya conozca los Estándares Federales de Procesamiento de la Información (FIPS).

Si no es así, aquí tienes una breve introducción:

FIPS es un estándar del Gobierno de Estados Unidos para diversas formas de seguridad. Lo administran organismos de los Gobiernos de Estados Unidos y Canadá, concretamente el Instituto Nacional de Estándares y Tecnología (NIST) y el Centro Canadiense para la Seguridad de las Telecomunicaciones (CSE).

Existen muchos requisitos FIPS diferentes que abordan distintos aspectos de la seguridad. Por ejemplo, está FIPS 197, que corresponde al Estándar de Cifrado Avanzado (AES), o FIPS 201, relativo a la Verificación de Identidad Personal (PIV) de empleados y contratistas federales, que constituye la base de las tarjetas PIV utilizadas para acreditar la identidad en numerosos organismos gubernamentales.

Uno de los requisitos FIPS más relevantes para quienes trabajamos en el ámbito de la seguridad de redes y en la nube es FIPS 140-2, que se aplica a la acreditación de la seguridad de los módulos criptográficos, es decir, a la validación y certificación de la seguridad del conjunto de hardware, software y firmware que ejecuta funciones criptográficas. Muchos organismos del Gobierno federal de Estados Unidos y del Gobierno canadiense, además de empresas especialmente concienciadas con la seguridad, exigen que sus equipos de red y seguridad cumplan la norma FIPS 140-2.

Dentro de FIPS 140-2, existen cuatro niveles de seguridad adicionales, que van desde el nivel 1, que exige algoritmos de cifrado aprobados, límites de seguridad definidos dentro del sistema y la validación de la inicialización de los componentes criptográficos, hasta el nivel 4, que, además de incluir los requisitos de los otros tres niveles, añade protecciones ambientales y otras medidas de protección física a una carcasa física reforzada, en la que las claves se borran si se detecta un ataque físico.

Los estándares que se aplican con mayor frecuencia son FIPS 140-2 de nivel 2, que exige mecanismos de detección de manipulaciones que permitan identificar el acceso físico a las claves criptográficas o a un parámetro de seguridad, y FIPS 140-2 de nivel 3, que añade resistencia a las manipulaciones, un medio de detección adicional a los métodos del nivel 2, así como una respuesta ante intentos de acceso físico o ante el uso o la manipulación del módulo criptográfico. En esencia, estos niveles de seguridad FIPS ayudan a los responsables de redes a saber si algún agente malintencionado ha accedido (o ha intentado acceder) a sus claves criptográficas.

Para los organismos gubernamentales y las empresas preocupadas por la seguridad, como las entidades de servicios financieros y los sectores jurídico y sanitario, la importancia de FIPS radica en la protección de las claves criptográficas y los parámetros de seguridad, así como en su defensa integrada frente a amenazas. El cumplimiento de FIPS garantiza que los organismos federales y las empresas que requieren un alto nivel de seguridad cumplan las normativas gubernamentales y sectoriales, como el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI DSS), Ley de Portabilidad y Responsabilidad de Seguros Médicos (HIPAA), el Reglamento Internacional sobre el Tráfico de Armas (ITAR), entre otras. Proporciona seguridad física y lógica multicapa, y protege los datos frente a robos y ataques en las capas 3 y 4 (incluidos los ataques de red y DNS), así como en la capa 7 (ataques SSL y HTTP).

Presentamos la plataforma F5 BIG-IP 10350v-F, una implementación compatible con FIPS 140-2 de nivel 3 del módulo de seguridad de hardware (HSM) de última generación y la primera plataforma de F5 compatible con FIPS 140-2 de nivel 3. La plataforma BIG-IP 10350v-F protege el almacenamiento de claves mediante un HSM con evidencias de manipulación y otras medidas de seguridad física. Gracias a su HSM, BIG-IP 10350v-F proporciona a organismos gubernamentales, instituciones de servicios financieros y otras empresas preocupadas por la seguridad un escalado seguro, al tiempo que satisface las crecientes exigencias actuales de rendimiento SSL. Ofrece un rendimiento líder en operaciones criptográficas SSL masivas y una relación precio-rendimiento superior. La plataforma 10350v-F simplifica la gestión de certificados y reduce los costes de cumplimiento normativo.

Pero quizá se pregunte por qué es tan importante un HSM. ¿No se pueden utilizar simplemente bibliotecas criptográficas de software? En cada implementación debe evaluarse el material que se va a proteger. Aunque los niveles 1 y 2 de FIPS 140-2 ofrecen cierto grado de confianza en que el cifrado utilizado ha alcanzado un determinado nivel de garantía y ha sido sometido a una revisión de su implementación, muchas entidades gubernamentales y otros programas sensibles requieren niveles de protección superiores. En estos casos, la protección de la información de identificación personal (PII) y la información sanitaria protegida (PHI) solo puede garantizarse mediante un HSM de nivel 3 conforme a FIPS 140-2. Además, los HSM protegen las operaciones criptográficas y las claves criptográficas críticas, separan los dominios administrativos y de seguridad, y aplican políticas sobre el uso de las claves.

La plataforma F5 BIG-IP 10350v-F ofrece una escalabilidad sin igual, con seguridad y protección de claves mejoradas, lo que proporciona una rentabilidad superior. Entre los casos de uso que aborda esta plataforma se encuentran la descarga, la visibilidad y la aceleración de SSL, así como el proxy de reenvío, ya sea mediante una funcionalidad de aislamiento físico o junto con los servicios Secure Web Gateway (SWG).

Cualquier organismo público o empresa que se ocupe de la recopilación, el almacenamiento y la distribución de datos sensibles no clasificados debería estar interesado en productos de red y seguridad conformes con FIPS 140-2. Asimismo, cualquier organismo o empresa que desee garantizar la seguridad de sus datos sensibles debería asegurarse de que sus claves criptográficas permanezcan protegidas; estas organizaciones necesitan el nivel 3 de FIPS 140-2.

Por eso, todas esas agencias y empresas necesitan la plataforma F5 BIG-IP 10350v-F, que ofrece el menor coste por TPS FIPS de todos los controladores de entrega de aplicaciones (ADC) con un HSM.

Sobre el autor

Jay KelleyGerente sénior de marketing de producto | F5

Más artículos de Jay Kelley