ご質問

FIPS 140のFAQ

1. FIPS 140とは何ですか？
2. FIPS 140-2とは何ですか？
3. FIPS 140-3とは何ですか？
4. FIPS 140はなぜ重要なのですか？
5. CMVP、CAVP、ACVPとは何ですか？
6. FIPS認証取得後は、wolfSSLのバージョンは更新できないのでしょうか？
7. 自社の名前でFIPS認証証明書を取得できますか？
8. wolfSSLからはどのようなサポートが受けられますか？
9. wolfSSLのFIPS認証取得サービスを受ける際、どんな準備が必要ですか？

1. FIPS 140とは何ですか？

FIPSとはFederal Information Processing Standardの略で、米国の連邦情報処理規格を意味します。米国国立標準技術研究所であるNISTが発行しています。その中のFIPS 140規格とは、暗号モジュールのセキュリティ要件を規定したものです。米国の連邦政府と行政機関（軍事を除く）は、FIPS140暗号モジュールを実装したセキュリティシステムの使用が必須となっています。

2. FIPS 140-2とは何ですか？

FIPS140認証としてFIPS 140-2がこれまで長年使われてきましたが、その後継として2019年に発行されたFIPS140-3が現在の最新版となっています。移行期間はありますが、今後の新規FIPS140認証の受付は、140-3に基づくものとなります。
これまでのFIPS140-2認証は、2026年9月21日には過去のものとしてヒストリーリストに残るだけとなります。

3. FIPS 140-3とは何ですか？

2019年に発行されたFIPS 140-3は、FIPS140認証の最新版で、今後のFIPS140認証は140-3が基準となります。FIPS 140-2の後継にあたり、ISO 19790：2012およびISO 24759：2017の仕様で標準化されています。

以下のブログも併せてご参照ください。
wolfCrypt FIPS 140-3
FIPS140-3で何が変わる？
FIPS140-3はどこが新しくなったか？
FIPS140-3ウェビナーオンデマンド(英語)

4. FIPS 140はなぜ重要なのですか？

米国連邦政府機関は暗号ベースのセキュリティシステムを購入する際、FIPS 140証明書が必須です。ベンダーの「FIPS用に設計した」、「FIPS対応済み」という主張だけではこの条件を満たせません。

米国連邦政府機関にとっては、
FIPS証明書なし=購入不可、なのです。

また、企業および組織においても、FIPS140の厳格な認証プロセスを経ていないソリューションよりも、FIPS 140証明書を取得している製品が選ばれるケースがあります。

5. CMVP、CAVP、ACVPとは何ですか？

CMVP
Cryptographic Module Validation Programの略で、暗号モジュール検証制度を意味します。FIPS140認証と呼ぶこともあります。米国NISTとカナダのCCCSが共同で作成しました。CMVPの認証内容はFIPS140-2として定義されたものが2002年から、また2021年9月からはFIPS 140-3として改版されたものが使われています。

wolfSSLではCMVP認証を取得したい機器を保有するお客様へ、ワンストップで認証証明書をお届けする、認証取得代行を行なっています。

お客様からお預かりした機器は、CMVPのためのテストが可能な状態に設定した上で、wolfSSLが提携する認定テストラボの一つへ提出します。この認定テストラボとは、NVLAP(National Voluntary Laboratory Accreditation Program)の認定を受けたサードパーティです。機器に使用されている暗号モジュールの実際のテスト、検証はこの認証テストラボが担い、テストに合格する内容に到達したらNISTに結果を提出し、その後NISTから認証テストラボ経由で認証証明書が発行されます。テストラボやNISTとの必要なやりとりはwolfSSLが行いますので、お客様からの直接のやりとりは発生いたしません。

CAVP
Cryptographic Algorithm Validation Programの略で、暗号アルゴリズム検証制度を意味します。CAVPは単独の認証としても存在しますが、CMVPの前提条件としても参照されます。

ACVP
Automated Cryptographic Validation Protocolの略で、自動暗号検証制度という名前の通り、テスト部分が自動化されたCAVPの認証プロセスです。それまでの手作業を多く含む認証プロセスに比べ、暗号アルゴリズムのテストと検証が効率的に実施できるようになりました。

6. FIPS認証取得後は、wolfSSLのバージョンは更新できないのでしょうか？

wolfSSLは、wolfCryptのFIPS境界をwolfCryptアルゴリズムのサブセットの周りのみに制限して定義しています。ほとんどのバグや脆弱性はこの境界の外、SSL/TLSレイヤーのコードで発生します。

この境界の外のコードはFIPS認証に関係しないため、FIPS認証取得後もwolfSSLのSSL/TLSコード部分は、新しいバージョンに更新することが可能です。

新しいwolfSSLバージョンをリリースした際、wolfCrypt部分はお客様がFIPS認証を取得したバージョンのwolfCryptでパッケージしなおし、個別に提供しています。これにより、FIPS認証を再取得することなく、安全性と最新性を維持することができます。こちらはwolfSSLサポートパッケージ内のサービスとして対応しています。

7. 自社の名前でFIPS認証証明書を取得できますか？

はい。 wolfCryptモジュールをリブランディングするオプションがあり、お客様の会社名でNISTからFIPS140認証証明書を取得することができます。

8. wolfSSLからはどのようなサポートが受けられますか？

wolfSSLチームには、必要なFIPSの専門知識があります。最適なFIPS戦略を策定し、必要に応じてオンサイトでのFIPSコンサルティングもご提供しています。

ぜひ一度、FIPSのエキスパートであるwolfSSLのチームにご相談ください。

wolfCrypt FIPS版の製品ページはこちらです。
wolfCrypt FIPS140-2 暗号モジュールの日本語パンフレットは、こちらからダウンロードいただけます。

9. wolfSSLのFIPS認証取得サービスを受ける際、どんな準備が必要ですか？

お客様には認証対象のプロセッサボードをご用意いただきます。お客様に準備いただく事項について、詳しくはこちらをご覧ください。