Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Obtenha conformidade com a norma FIPS sem complicações com as Atualizações de Segurança Estendidas (ESU) da TuxCare, que oferecem pacotes AlmaLinux FIPS pré-certificados, permitindo que você evite o demorado e caro processo de certificação. Saiba mais aqui.
Vá direto para um resumo gerado por IA desta postagem do blog 
A FIPS 140-3 é uma norma emitida pelo Instituto Nacional de Padrões e Tecnologia (NIST) que visa fornecer um método consistente e seguro para o processamento de informações confidenciais por meio de um rigoroso processo de certificação. A conformidade com essa norma é obrigatória para determinadas organizações nos Estados Unidos e no Canadá, mas muitas organizações ainda optam por adotá-la como uma prática recomendada, mesmo que não seja especificamente exigida para elas.
No entanto, a conformidade com a norma FIPS 140-3 pode ser complexa e demorada. O processo de certificação para validar um sistema operacional é rigoroso e leva bastante tempo.
Quando uma organização atualiza seu sistema operacional validado pela FIPS para corrigir uma vulnerabilidade, esse sistema deixa de ser validado e precisa passar pelo processo de certificação novamente. Esse dilema pode levar as organizações a adiar a aplicação de patches, forçando-as a decidir entre permanecer com sistemas certificados pela FIPS, mas, ao mesmo tempo, arriscar sua segurança, ou proteger esses sistemas contra as vulnerabilidades mais recentes, mesmo que isso signifique perder a certificação FIPS.
Mas será que as organizações precisam escolher entre certificação e segurança? Na verdade, para a maioria delas, esse não é o caso. Esta postagem do blog abordará essas questões com mais profundidade e explorará as alternativas disponíveis para as organizações, como as Atualizações de Segurança Estendidas (ESU), um serviço de suporte desenvolvido especificamente para o AlmaLinux que oferece segurança e conformidade contínuas.
O que é a norma FIPS 140-3?
A norma FIPS 140-3 especifica os requisitos de segurança para módulos criptográficos utilizados em hardware e software. Os módulos criptográficos, no contexto de um sistema operacional como o AlmaLinux, são as partes específicas dos pacotes e bibliotecas do sistema — incluindo o kernel, o OpenSSL, o GnuTLS, o NSS e o Libgcrypt — que contêm a implementação de um ou mais algoritmos criptográficos e medidas de segurança utilizadas para proteger informações confidenciais. Um módulo criptográfico certificado como estando em conformidade com os requisitos da norma FIPS 140-3 é considerado uma solução segura e confiável para proteger tais informações.
Em termos simples, quando um produto de software ou hardware possui um certificado FIPS 140-3, isso significa que ele atende aos requisitos básicos de eficácia criptográfica e é confiável.
É algo indispensável ou apenas um extra?
A conformidade com a norma é obrigatória para órgãos do governo federal do Canadá e dos Estados Unidos, contratados do governo e empresas que prestam serviços ao governo federal dos EUA. Para outras organizações, a conformidade com a FIPS 140-3 é uma prática recomendada, pois pode ajudá-las a proteger dados e ativos confidenciais, além de aumentar a confiança de seus clientes e outras partes interessadas na segurança de seus produtos e serviços.
Terceirização x Faça você mesmo
As organizações que exigem implantações certificadas pela FIPS ou aquelas que operam sob regimes de conformidade com requisitos semelhantes (por exemplo, PCI DSS, HIPAA) podem optar por certificar suas próprias aplicações ou desenvolvê-las utilizando componentes já certificados. A primeira opção implica investimentos significativos, conhecimento especializado em criptografia e tempo, uma vez que envolve a validação por um laboratório terceirizado credenciado pelo NIST. Quanto mais complexa for a aplicação, maior será o esforço necessário.
Para otimizar esses fluxos de trabalho complexos, muitas organizações contam com ferramentas de conformidade de TI que integram o acompanhamento de projetos, a documentação e a coleta de evidências, especialmente ao gerenciar simultaneamente várias normas, como FIPS e SOC 2.
Certificado ou seguro?
Os sistemas operacionais que incluem módulos criptográficos e lidam com informações confidenciais devem possuir a certificação FIPS 140-3. Embora os módulos criptográficos sejam apenas pequenos componentes de determinados pacotes e bibliotecas do sistema, como a Kernel Crypto API, esses componentes devem ser certificados como partes integrantes deles. Isso significa que, para manter a certificação FIPS, muitas atualizações desses pacotes e bibliotecas exigem que eles sejam recertificados.
Considerando o tempo e o esforço necessários para a recertificação, as organizações muitas vezes se veem obrigadas a manter a versão atual do sistema operacional, optando, na prática, por manter a certificação FIPS em vez de se protegerem rapidamente contra as vulnerabilidades mais recentes. Ao mesmo tempo, esse atraso na implementação de atualizações críticas de segurança deixa as organizações vulneráveis a ataques cibernéticos, o que representa uma preocupação significativa em termos de segurança.
Algumas organizações e agências enfrentam esse desafio avaliando cuidadosamente suas estratégias de gestão de riscos e ponderando os riscos e custos potenciais associados à conformidade com a norma FIPS. Elas podem considerar a implementação de medidas alternativas de segurança, como a segmentação de rede, para mitigar o impacto das vulnerabilidades no sistema operacional. Mas há uma maneira melhor.
Não é preciso fazer concessões
Em primeiro lugar, a certificação FIPS 140-3 é um processo muito demorado e, quando o certificado for recebido, os pacotes e bibliotecas que contêm os módulos criptográficos certificados já estarão desatualizados. Eles não terão os patches de segurança para as vulnerabilidades identificadas desde o início do processo de certificação FIPS 140-3. Se não forem atualizados, o valor da linha de base de segurança estabelecida pela certificação FIPS poderá ser comprometido.
Em segundo lugar, a maioria das atualizações de segurança de alto nível e críticas não afeta a criptografia validada (e, nos termos do NIST, o conceito de “criptografia afetada” se restringe ao código FIPS). Se tomarmos como exemplo os últimos 4 anos do ciclo de vida do AlmaLinux 8, veremos que todas as CVEs importantes estavam em código não criptográfico (análise de certificados/ASN.1, contornamento de verificações de segurança, tratamento de pacotes TLS). Mesmo a vulnerabilidade mais divulgada e crítica do OpenSSL – Heartbleed – não teve nada a ver com criptografia. Isso significa que a maioria das correções de vulnerabilidades nos pacotes e bibliotecas certificados pelo FIPS nem mesmo afeta os módulos validados, nem a criptografia que eles fornecem. Em outras palavras, os pacotes e bibliotecas atualizados permanecem totalmente em conformidade com o FIPS.
A conformidade com a norma FIPS deve ser suficiente para a maioria das organizações. Elas podem operar seus sistemas com criptografia validada e, ao mesmo tempo, se beneficiar das correções de segurança mais recentes. Existem casos de uso muito específicos que exigirão implementações estritamente certificadas pela FIPS, que sejam estáticas e nunca recebam correções, como no caso de agências militares ou de inteligência. No entanto, no caso de correção de uma vulnerabilidade criptográfica, as organizações que optaram por aplicar correções de segurança aos seus sistemas certificados pela FIPS ainda precisarão encontrar uma maneira de recertificar rapidamente seu sistema operacional.
Se você está procurando uma distribuição Linux de nível empresarial para atender às normas dos governos dos Estados Unidos e do Canadá ou para operar em ambientes altamente regulamentados, precisa considerar uma solução que ofereça segurança contínua e, ao mesmo tempo, permita que você cumpra as normas exigidas de proteção de dados.
Se houver uma distribuição que forneça componentes validados pela FIPS, atualizações de segurança para CVEs não criptográficas e recertificação rápida em caso de vulnerabilidade criptográfica, ela seria a opção perfeita. O Extended Security Updates (ESU), um serviço de suporte projetado especificamente para o AlmaLinux, faz exatamente isso. Ele não apenas fornece patches de segurança que não afetam a criptografia validada e oferece recertificação FIPS 140-3 quando necessário, mas também pode ser aprimorado com a aplicação de patches em tempo real — permitindo que você aplique patches em seus sistemas certificados pela FIPS enquanto mantém 100% de tempo de atividade.
Atualizações de Segurança Estendidas (ESU) para o AlmaLinux
Se você está familiarizado com o ciclo de vida do AlmaLinux, sabe que uma nova versão secundária é lançada a cada seis meses, trazendo novos recursos até o quinto ano. No entanto, uma versão certificada pela FIPS deve ser estável e introduzir o mínimo possível de atualizações para manter sua certificação. A versão atualmente certificada pela FIPS do AlmaLinux é a 9.2. Com as Atualizações de Segurança Estendidas da TuxCare, você pode permanecer na versão secundária validada e continuar operando com segurança no código validado, com patches de segurança em conformidade com a FIPS, até que o certificado expire.
O serviço oferece uma combinação de atualizações de segurança de alto nível e críticas na forma de atualizações de pacotes, personalizadas para garantir que você opere com criptografia em conformidade com a norma FIPS. Elas nunca são agrupadas com atualizações de recursos e fornecem correções para vulnerabilidades não criptográficas, a fim de proporcionar estabilidade, ao mesmo tempo em que permitem que os clientes recebam a grande maioria das atualizações de segurança. Além disso, se você adicionar a aplicação de patches em tempo real, seus sistemas AlmaLinux certificados poderão receber patches sem a necessidade de reinicializações relacionadas a eles ou janelas de manutenção.
Ao mesmo tempo, caso haja uma vulnerabilidade criptográfica, nós a corrigimos por meio do lançamento de um novo kernel empacotado. Os clientes podem reiniciar o sistema e instalar esse kernel para atualizar seus sistemas. É nossa intenção submeter todo novo kernel que modifique a criptografia ao processo de recertificação projetado para correções de CVE, que é muito mais rápido. Isso garante que os novos kernels que contenham uma correção de vulnerabilidade em sua criptografia sejam atestados como estando em conformidade com os requisitos da norma FIPS 140-3.
Para saber mais sobre todos os benefícios das Atualizações de Segurança Estendidas, confira nossa página do produto.
