問10 FIPS PUB 140-⁠3 とは

情報処理安全確保支援士令和6年度春期午前II、全25問のうちの問10。

FIPS PUB 1⁠4⁠0-⁠3 はどれか。

ア暗号モジュールのセキュリティ要求事項
イ情報セキュリティマネジメントシステムの要求事項
ウデジタル証明書や証明書失効リストの技術仕様
エ無線 LAN セキュリティの技術仕様

答えと解説を開く

正解はアです。

FIPS PUB 1⁠4⁠0 の系列は、暗号の処理を受け持つハードウェアやソフトウェア (暗号モジュール) が満たすべきセキュリティの要求を定めた、米国政府の規格です。1⁠4⁠0-⁠3 はその改訂版です。鍵の扱い、物理的な守り、自己テストなどについて要求が決められ、守りの強さに応じて段階 (セキュリティレベル) が分かれています。認定を受けた暗号モジュールは、政府機関の調達などで求められます。正解はアです。

ほかの選択肢が違う理由

イ情報セキュリティマネジメントシステムの要求事項を定めているのは、ISO/IEC 2⁠7⁠0⁠0⁠1 (JIS Q 2⁠7⁠0⁠0⁠1) です。
ウデジタル証明書と証明書失効リストの形式は、ITU-⁠T X.5⁠0⁠9 や、それをインターネット向けに定めた RFC 5⁠2⁠8⁠0 で決められています。
エ無線 LAN のセキュリティの技術仕様は、IEEE 8⁠0⁠2.1⁠1i や、Wi-⁠Fi Alliance の WPA2、WPA3 などです。

仕組み

暗号のアルゴリズムが強くても、それを動かす装置の作りが甘いと、鍵が漏れることがあります。FIPS 1⁠4⁠0 は、アルゴリズムではなく、それを入れた箱 (モジュール) の作りを確かめるための規格です。

日本にも、暗号モジュールを試験して認証する制度 (JCMVP) があります。暗号を使う製品を選ぶときは、どの規格の認証を受けているかが判断の材料になります。