FIPS 유효성 검사 및 FedRAMP 이해

이 블로그 글의 AI 요약으로 바로 가기

보안 규정 준수에 대한 논의에서 자주 등장하는 두 가지 용어가 있습니다: FIPS 검증과 FedRAMP 인증입니다. 이 용어는 종종 같은 의미로 사용되거나 혼용되어 사용되지만, 연방 정보 보안 요구 사항의 뚜렷하지만 상호 연결된 측면을 나타냅니다. 연방 환경에서 Linux 시스템을 관리하는 조직의 경우 이러한 관계를 이해하는 것이 중요합니다.

FIPS 검증의 이해

연방 정보 처리 표준(FIPS) 140은 미국 국립표준기술연구소(NIST)에서 개발한 보안 표준입니다. 특히 하드웨어와 소프트웨어 구성 요소 모두에 사용되는 암호화 모듈에 대한 요구 사항에 중점을 두고 있습니다. 흔히 오해하는 것은 전체 시스템 또는 배포판이 "FIPS를 준수"할 수 있다는 것입니다. 실제로는 개별 암호화 모듈만 NIST의 암호화 모듈 검증 프로그램(CMVP)을 통해 FIPS 검증을 받을 수 있습니다.

Linux 배포의 경우, 이는 특정 암호화 라이브러리와 모듈을 개별적으로 검증해야 함을 의미합니다. 모듈이 FIPS 검증을 통과하면 엄격한 테스트 및 검증 프로세스를 성공적으로 통과하여 연방 보안 요건을 충족한다는 것을 의미합니다. 이 검증이 없으면 미국 정부는 검증되지 않은 모듈로 암호화된 데이터를 사실상 보호되지 않는 것으로 간주하기 때문에 이 검증은 매우 중요합니다.

리눅스 배포 보안 과제

FIPS 검증과 강력한 보안 태세를 유지하는 데 있어 가장 중요한 과제 중 하나는 암호화 모듈에 대한 업데이트를 관리하는 것입니다. FIPS 검증을 거친 암호화 모듈이 포함된 Linux 패키지에서 취약점이 발견되면 시스템 관리자는 중요한 결정에 직면하게 됩니다:

검증되었지만 취약한 버전을 계속 사용하세요.
일시적으로 FIPS 유효성 검사를 잃을 수 있는 더 안전한 최신 버전으로 업데이트하기

이 문제는 시스템 보안을 유지하기 위해 정기적인 보안 업데이트가 중요하지만 암호화 모듈을 업데이트하면 유효성 검사 상태에 영향을 미칠 수 있는 Linux 환경에서 특히 심각합니다.

연방 환경에서의 FIPS 이해

연방 환경에서 Linux 배포판으로 작업할 때는 FIPS 유효성 검사의 몇 가지 주요 측면을 고려해야 합니다:

모듈 수준 유효성 검사

- 개별 암호화 모듈의 유효성을 검사해야 합니다.

- 유효성 검사는 특정 버전의 모듈에 적용됩니다.

- 모듈을 변경하면 재검증이 필요할 수 있습니다.

유효성 검사 프로세스

- 모듈은 승인된 실험실에서 테스트해야 합니다.

- 이 과정에는 상당한 시간이 소요될 수 있습니다.

- 모듈을 업데이트하려면 새로운 유효성 검사가 필요할 수 있습니다.

보안 업데이트

- 재검증이 완료되기 전에 중요한 보안 패치가 필요할 수 있습니다.

- 조직은 이러한 균형을 관리하기 위한 전략이 필요합니다.

- 편차를 문서화하는 것이 중요합니다.

이러한 측면은 확장 보안 업데이트가 포함된 알말리눅스에 대한 엔터프라이즈 지원의 일부로 TuxCare에서 처리합니다.

알마리눅스 엔터프라이즈 지원으로 연방 요건 충족하기

이 서비스는 검증된 암호화 모듈을 제공하는 동시에 시기적절한 보안 업데이트를 보장함으로써 조직이 보안 태세와 규정 준수 상태를 모두 유지할 수 있도록 도와줍니다.

알마리눅스에서 영향을 받는 암호화 모듈은 커널 암호화 API, OpenSSL, NSS, libgcrypt 및 GnuTLS입니다. 이러한 모듈에 대한 유효성 검사 프로세스 상태는 알마리눅스용 FIPS 페이지에서 유효성 검사 상태와 온라인 인증서 정보에 대한 링크를 확인할 수 있습니다.

인증 절차가 매우 길고 규정 준수 목적으로 감사자가 해당 페이지의 링크를 통해 NIST CMVP 목록에 제공된 링크를 확인하여 이러한 방식으로 유효성을 확인할 수 있다는 점에 유의하는 것이 중요합니다.

현재 TuxCare는 AlmaLinux 9.2 FIPS 검증 모듈을 제공하며, 따라서 다음과 같은 "Modules In Process"(MIP) NIST 목록와 함께 openssl과 커널은 이미 활성 목록에 있습니다..

TuxCare는 AlmaLinux 9.6 모듈에 대해서도 유사한 지위를 획득하는 중이며, 이는 다음과 같은 "테스트 중인 구현"(IUT) NIST 목록.

이러한 복잡한 요구 사항을 해결하고자 하는 조직을 위해 TuxCare의 AlmaLinux 기업 지원 서비스는 포괄적인 솔루션을 제공합니다. 확장 보안 업데이트 기능을 통해 다음과 같은 서비스를 제공합니다:

- 알마리눅스용 FIPS 인증 암호화 패키지

- 유효성 검사 상태와 보안 간의 균형을 유지하는 정기적인 보안 업데이트

- 조직이 규정 준수 요구 사항을 관리하는 데 도움이 되는 확장 지원

- 시스템 보안을 유지하면서 FIPS 유효성 검사를 유지하기 위한 전문가 지침

현재 FIPS/ESU를 위한 openssl 및 커널 라이브 패치도 곧 제공할 예정입니다.

FedRAMP 연결

FIPS 검증은 특히 암호화 모듈에 중점을 두는 반면, 연방 위험 및 권한 관리 프로그램(FedRAMP)은 보안에 대한 보다 광범위한 접근 방식을 취합니다. FedRAMP는 연방 기관에서 사용하는 클라우드 제품 및 서비스에 대한 보안 평가, 승인 및 지속적인 모니터링에 대한 표준화된 접근 방식을 제공합니다. 종종 간과되는 중요한 점은 다음과 같습니다. FIPS 검증은 FedRAMP의 필수 구성 요소입니다. 규정 준수의 필수 구성 요소라는 점입니다.

연방 기관과 협력하는 클라우드 서비스 제공업체 및 조직의 경우, 이는 분명한 필수 사항입니다: FIPS 검증은 단순히 '있으면 좋은' 보안 기능이 아니라 FedRAMP 인증을 위한 기본 요건입니다. FIPS 검증을 거친 암호화 모듈이 없는 시스템은 FedRAMP 인증을 받을 수 없으므로 연방 정부 고객에게 서비스를 제공할 수 있는 능력이 제한될 수 있습니다.

Linux 배포 검증의 변화하는 환경

최근 Linux 에코시스템의 발전은 조직이 FIPS 유효성 검사에 접근하는 방식에 큰 영향을 미쳤습니다. 특히 주목할 만한 변화는 CentOS 사용자에게 영향을 미칩니다: 2021년 3월 기준, CentOS Linux는 더 이상 RHEL의 FIPS 유효성 검사 상태에 의존할 수 없습니다.. 이러한 변화는 CentOS와 RHEL의 관계 변화 및 수명 종료 발표로 인해 발생했습니다. 에 의해 공식적으로 인정된 대로.

게다가 RHEL 7의 FIPS 인증 상황은 추가적인 과제를 안고 있습니다:

몇몇 주요 RHEL 7 FIPS 인증서는 이미 기록 목록으로 이동하여 더 이상 적극적으로 유지 관리되지 않음을 나타냅니다. 나머지 RHEL 7 커널 및 NSS 모듈은 현재 FIPS 140-2 유효성 검사 상태를 유지하고 있습니다. 그러나 이러한 인증은 내년에 일몰 조항에 직면하게 되므로 조직은 전환 전략을 시급히 계획해야 합니다.

이러한 변화하는 환경은 연방 규정 준수를 유지하는 조직에게 몇 가지 중요한 고려 사항을 만들어냅니다:

현재 CentOS를 사용하는 조직은 지속적인 FIPS 유효성 검사 범위를 보장하는 마이그레이션 전략을 개발해야 합니다.
RHEL 7의 FIPS 검증에 의존하는 기업은 다가오는 FIPS 140-2 인증의 일몰에 대비해야 합니다.
미래 지향적인 계획에는 장기적인 안정성을 제공하는 현재 검증된 대안에 대한 평가가 포함되어야 합니다.

RHEL 7의 지원 종료(EOL )와 관련된 보안 위험에 대한 자세한 내용은 당사의 종합 가이드에서 확인하실 수 있습니다.

지속적인 규정 준수 유지

조직은 보안 업데이트를 최신 상태로 유지하면서 시스템이 활성 FIPS 유효성 검사 상태를 유지하도록 해야 합니다. 이는 특히 다음과 같은 경우에 더욱 어려워집니다:

기존 인증은 기록 상태로 이동
즉각적인 주의가 필요한 새로운 보안 취약점
시스템 업데이트는 잠재적으로 유효성 검사 상태에 영향을 미칠 수 있습니다.

현대 FIPS 준수에서 TuxCare의 역할

이러한 과제를 고려할 때 TuxCare의 AlmaLinux에 대한 엔터프라이즈 지원은 점점 더 중요해지고 있습니다. 당사의 접근 방식은 FIPS 검증 모듈에 대한 즉각적인 요구 사항과 변화하는 환경에서 규정 준수를 유지하기 위한 장기적인 요구 사항을 모두 해결합니다. 이 서비스는 다음을 제공합니다:

현재 AlmaLinux 9.2에 대해 검증된 모듈
FIPS 보안 관련 CVE에 대해 필요에 따라 재검증 실시
AlmaLinux 9.6을 포함한 최신 버전에 대한 유효성 검사를 적극적으로 추진합니다.
수명이 다했거나 역사적으로 검증된 시스템에서 전환해야 하는 조직을 위한 명확한 경로
보안 및 규정 준수 요구 사항을 모두 유지하기 위한 지속적인 지원

안정적이고 규정을 준수하는 환경을 원하는 조직은 단순히 과거 유효성 검사나 수명이 다한 배포에 의존하는 것이 더 이상 실행 가능한 전략이 아니라는 점을 고려해야 합니다. FedRAMP 요구 사항과 진화하는 FIPS 검증 상태의 조합은 규정 준수 관리에 대한 보다 사전 예방적인 접근 방식을 요구합니다.

요약