FIPS 140-3

Identity

• NISTのFIPS 140-3は2019年3月22日に公表され、FIPS 140-2（2002年12月3日）に代わる。要旨によれば、標準は4段階のセキュリティレベルを定め、暗号モジュールの安全な設計・実装・運用に関する11の領域（モジュール仕様、インターフェース、役割・サービス・認証、ソフトウェア／ファームウェアのセキュリティ、物理セキュリティ、自己テスト等）を扱う。検証待ち FIPS 140-3: Security Requirements for Cryptographic Modules（NIST CSRC）

Capability

• NISTのFIPS 140-3は2019年3月22日に公表され、FIPS 140-2（2002年12月3日）に代わる。要旨によれば、標準は4段階のセキュリティレベルを定め、暗号モジュールの安全な設計・実装・運用に関する11の領域（モジュール仕様、インターフェース、役割・サービス・認証、ソフトウェア／ファームウェアのセキュリティ、物理セキュリティ、自己テスト等）を扱う。検証待ち FIPS 140-3: Security Requirements for Cryptographic Modules（NIST CSRC）
• NISTのCMVP（暗号モジュール検証プログラム）ページは、CMVPがNISTとカナダ・サイバーセキュリティセンターの共同の取り組みであると説明し、2020年9月22日からCMVPがFIPS 140-3の申請を受け付けていることを状況表に示す。同ページは、現在有効な検証済みモジュールが1,000を超えると述べる。検証待ち Cryptographic Module Validation Program（NIST CSRC）

Credibility

• NISTのCMVP（暗号モジュール検証プログラム）ページは、CMVPがNISTとカナダ・サイバーセキュリティセンターの共同の取り組みであると説明し、2020年9月22日からCMVPがFIPS 140-3の申請を受け付けていることを状況表に示す。同ページは、現在有効な検証済みモジュールが1,000を超えると述べる。検証待ち Cryptographic Module Validation Program（NIST CSRC）
• カナダ・サイバーセキュリティセンターのCMVPページは、同センターとNISTがCMVPを共同で運営しており、カナダ側の認証機関を務めると説明する。FIPS 140はレベル1〜4を定める。同ページは、FIPS 140証明書はモジュールが標準のセキュリティ要件を満たすことを確認するだけで、サプライチェーン、ベンダーの信頼性、評判、所有関係は評価対象でないと述べる。検証待ち Cryptographic Module Validation Program (CMVP)（カナダ・サイバーセキュリティセンター）

Use Case

• NISTのCMVPページは、FIPS 140-2で検証されたモジュールの受け入れを2026年9月21日までとし、その後CMVPはFIPS 140-2検証済みモジュールをHistorical Listに置くと記す。Historical Listに移ったモジュールは、政府機関が既存システムでのみ利用できるとされる。検証待ち Cryptographic Module Validation Program（NIST CSRC）

Constraints / Current Status

• NISTのFIPS 140-3移行ページの時系列は、FIPS 140-3の発効日が2019年9月22日、CMVPが申請を受け付けた日が2020年9月22日、FIPS 140-2での新規認証申請の受付終了が2022年4月1日、そして「2026年9月22日にすべてのFIPS 140-2証明書がHistorical Listに置かれる」と記す。同ページ本文では2026年9月21日までとも書かれ、21日と22日の表記が揃っていない。検証待ち FIPS 140-3 Transition Effort（NIST CSRC）
• カナダ・サイバーセキュリティセンターのCMVPページは、同センターとNISTがCMVPを共同で運営しており、カナダ側の認証機関を務めると説明する。FIPS 140はレベル1〜4を定める。同ページは、FIPS 140証明書はモジュールが標準のセキュリティ要件を満たすことを確認するだけで、サプライチェーン、ベンダーの信頼性、評判、所有関係は評価対象でないと述べる。検証待ち Cryptographic Module Validation Program (CMVP)（カナダ・サイバーセキュリティセンター）
• NISTのCMVPページは、FIPS 140-2で検証されたモジュールの受け入れを2026年9月21日までとし、その後CMVPはFIPS 140-2検証済みモジュールをHistorical Listに置くと記す。Historical Listに移ったモジュールは、政府機関が既存システムでのみ利用できるとされる。検証待ち Cryptographic Module Validation Program（NIST CSRC）

Key References

• なぜ暗号モジュールの調達でFIPS 140-3が参照されるのですか？
• FIPS 140-3の検証が何を保証するかは、どの出典で確認できますか？
• FIPS 140-3とは何ですか？

Related

• NIST— FIPS 140-3はNISTが2019年3月22日に公表した標準で、検証プログラムCMVPはNISTとカナダ・サイバーセキュリティセンターが共同で運営している。