Certificación FIPS 140-2

FIPS 140-2 (que aquí llamaremos FIPS) es un estricto estándar de criptografía estadounidense que es un componente crítico de las soluciones de ciberseguridad en los sectores público y privado. Allied Telesis ha obtenido la certificación FIPS en varios productos clave, lo que demuestra que nuestras sólidas afirmaciones de seguridad y calidad están respaldadas por nuestros procesos y resultados.

Pero, ¿qué es exactamente FIPS? ¿Por qué es importante la certificación y cómo la obtiene una empresa? Hablamos con Theuns Verwoerd de Allied Telesis para averiguarlo.

Cuéntanos un poco sobre ti, Theuns, y tu rol.

Soy ingeniero de software senior, trabajando como parte del equipo de seguridad. Nuestras tareas incluyen supervisar y asesorar sobre aspectos relacionados con la seguridad durante el desarrollo de productos, abordar las necesidades de seguridad a medida que surgen y gestionar las certificaciones relacionadas. En los últimos dos años, la certificación FIPS ha sido un componente importante de eso.

En pocas palabras, ¿qué es FIPS?

FIPS es la abreviatura de Federal Information Processing Standard, donde FIPS 140-2 es FIPS número 140, versión 2. FIPS incluye una gama de estándares de criptografía creados por el gobierno de los EE.UU. para proteger sus datos sensibles. Se espera que esta certificación la tenga cualquier producto utilizado por el gobierno federal. Esencialmente, FIPS 140-2 es una serie de controles para asegurar que un módulo criptográfico ha sido evaluado independientemente para cumplir con un estándar de seguridad establecido por el Gobierno de los Estados Unidos.

No son solo las agencias gubernamentales estadounidenses las que están utilizando este estándar ahora, ¿por qué FIPS se ha vuelto tan importante para tantas empresas globales?

La criptografía es difícil y propensa a fallar de maneras no obvias. También es fundamental para la fiabilidad y la integridad de las comunicaciones a través de una red no confiable, como Internet. Comprobar si la implementación criptográfica de un proveedor es de buena calidad requiere una inspección profunda, mucho más de lo que cualquier usuario puede hacer razonablemente. Obtener la certificación FIPS demuestra que esta inspección ha sido realizada por expertos, probadores objetivos que son externos al proveedor. Esto demuestra que cuando un proveedor afirma haber construido su solución con alta calidad y mejores prácticas, realmente lo hizo.

Por lo tanto, conseguir la certificación FIPS habla de la calidad y la seguridad de nuestros productos?

Sí. En cuanto a nuestro código del sistema operativo AlliedWare Plus, la evaluación FIPS incluye una inspección detallada tanto del diseño como de la implementación del módulo criptográfico: hay una inspección completa y detallada del código fuente. FIPS requiere un libro abierto: cuando un proveedor reclama seguridad y calidad, el código fuente tiene que respaldar eso.

A nivel de hardware, los productos certificados en el nivel FIPS 2 requieren pruebas de manipulación física, incluida una cadena completa de confianza de fábrica a usuario. (Allied Telesis tiene la certificación C-TPAT que reconoce su cadena de suministro segura.) Los ataques a la cadena de suministro, incluida la interceptación física, se han convertido en una verdadera preocupación en los últimos años. La certificación FIPS requiere la prueba de que el hardware no ha sido subvertido, por lo que es confiable para el usuario final.

Además de demostrar la seguridad del código y el hardware, FIPS también proporciona al usuario final un alto nivel de confianza en los procesos de un proveedor, las prácticas de software y desarrollo utilizadas para generar el firmware del sistema operativo que impulsa el hardware. FIPS demuestra que tiene un fuerte control de fuentes y versiones, y firmas de firmware robustas. Los usuarios pueden verificar que el firmware de su dispositivo es exactamente el mismo que el verificado, probado y certificado.

¿Cuál fue su experiencia trabajando en el proyecto Allied Telesis FIPS?

La criptografía es difícil. Ser desafiado a no solo tener implementadas características criptográficas sino a justificar y documentar cada aspecto, requiere un nivel de atención al detalle, y una verificación exhaustiva que va mucho más allá de la norma.

Afortunadamente, nuestros enfoques de diseño y procesos de desarrollo aquí en Allied Telesis ya estaban muy centrados en la calidad, lo que significaba que se requería muy poca reelaboración de nuestro software AlliedWare Plus. La mayor parte del trabajo se redujo a documentar, en detalle, todos los aspectos de nuestro proceso de desarrollo y del propio módulo criptográfico.

¿Algún desafío?

La seguridad es por naturaleza precisa, la criptografía es aún más. Agreguemos a eso los estándares del gobierno de Estados Unidos, los extensos requisitos de documentación y un examinador externo que tiene acceso total al funcionamiento interno de la solución, y la más mínima incertidumbre sobre un detalle se vuelve intolerable.

Incluso a partir de una implementación sólida, todo tenía que ser revisado, revisado, documentado, revisado, probado y comprobado de nuevo.

¿Y la mejor parte?

El software es intangible: siempre intentas construir la mejor solución posible y probarla de todas las formas posibles (e imposibles), pero en última instancia, es una cuestión de fe. Una certificación tan rigurosa y exigente como la FIPS 140-2 da la validación de que todo el trabajo que ponemos en la construcción de la mejor solución posible ha dado sus frutos.