Dois termos surgem com frequência nas discussões sobre conformidade de segurança: validação FIPS e autorização FedRAMP. Embora esses termos sejam frequentemente usados de forma intercambiável ou confundidos entre si, eles representam aspectos distintos, mas interligados, dos requisitos federais de segurança da informação. Para organizações que gerenciam sistemas Linux em ambientes federais, compreender essa relação é fundamental.
O que é a validação FIPS
A Norma Federal de Processamento de Informações (FIPS) 140 é uma norma de segurança desenvolvida pelo Instituto Nacional de Padrões e Tecnologia (NIST). Ela se concentra especificamente nos requisitos para módulos criptográficos utilizados tanto em componentes de hardware quanto de software. Um equívoco comum é acreditar que sistemas ou distribuições inteiras possam ser “conformes à FIPS”. Na realidade, apenas módulos criptográficos individuais podem receber a validação FIPS por meio do Programa de Validação de Módulos Criptográficos (CMVP) do NIST.
Para as distribuições Linux, isso significa que bibliotecas e módulos criptográficos específicos devem ser validados individualmente. Quando um módulo obtém a validação FIPS, isso significa que ele passou com sucesso por rigorosos processos de teste e verificação para garantir que atenda aos requisitos federais de segurança. Essa validação é crucial porque, sem ela, o governo dos EUA considera os dados criptografados com módulos não validados como efetivamente desprotegidos.
Atualizações de segurança para módulos validados pela FIPS
Manter tanto a validação FIPS quanto uma postura de segurança robusta apresenta desafios únicos. Uma das questões mais críticas é como as organizações lidam com as atualizações de segurança dos módulos criptográficos, garantindo ao mesmo tempo a conformidade contínua. Quando são descobertas vulnerabilidades em pacotes do Linux que contêm módulos criptográficos validados pela FIPS, os administradores de sistema se deparam com uma decisão crítica:
- Continue usando a versão validada, mas vulnerável
- Atualize para uma versão mais recente e mais segura, o que pode resultar na perda temporária da certificação FIPS
Esse desafio é particularmente grave em ambientes Linux, onde atualizações regulares de segurança são essenciais para manter a segurança do sistema, mas a atualização de módulos criptográficos pode afetar seu status de validação.
Cumprimento dos requisitos federais com o suporte do AlmaLinux Enterprise
O Suporte Empresarial para AlmaLinux da TuxCare ajuda as organizações a manter tanto sua postura de segurança quanto sua conformidade, fornecendo módulos criptográficos validados para o AlmaLinux e garantindo atualizações de segurança em tempo hábil.
Os módulos criptográficos afetados no AlmaLinux são a Kernel Crypto API, o OpenSSL, o NSS, a libgcrypt e o GnuTLS. Você pode verificar o status do processo de validação desses módulos na página “FIPS para AlmaLinux”, que contém o status da validação e links para as informações dos certificados online.
Como o processo de certificação é muito demorado, os auditores podem verificar a conformidade consultando as listas do CMVP do NIST cujos links constam nessa página.
Atualmente, a TuxCare oferece módulos do AlmaLinux 9.2 com validação FIPS e, portanto, está listada na lista “Modules In Process” (MIP) do NIST, com o OpenSSL e o kernel já incluídos na lista “Active”.
A TuxCare também está em processo de obtenção de um status semelhante para os módulos do AlmaLinux 9.6, o que pode ser verificado na lista “Implementação em Teste” (IUT) do NIST.
Para as organizações que buscam lidar com esses requisitos complexos, o serviço AlmaLinux Enterprise Support da TuxCare oferece uma solução abrangente. Por meio do nosso serviço de Atualizações de Segurança Estendidas (ESU), oferecemos:
Pacotes criptográficos validados pela FIPS para o AlmaLinux
- Atualizações regulares de segurança que mantêm o equilíbrio entre o status de validação e a segurança
- Suporte ampliado para ajudar as organizações a gerenciar seus requisitos de conformidade
- Orientação especializada sobre como manter a certificação FIPS e, ao mesmo tempo, garantir a segurança dos sistemas
No momento, também estamos estudando a possibilidade de disponibilizar em breve patches dinâmicos para o OpenSSL e o kernel, em conformidade com as normas FIPS/ESU.
Relação entre FIPS e FedRAMP
Embora a validação FIPS se concentre especificamente em módulos criptográficos, o Programa Federal de Gestão de Riscos e Autorizações (FedRAMP) adota uma abordagem mais ampla em relação à segurança. O FedRAMP oferece uma abordagem padronizada para avaliação de segurança, autorização e monitoramento contínuo de produtos e serviços em nuvem utilizados por órgãos federais. Um ponto crucial frequentemente ignorado é que a validação FIPS é um componente obrigatório da conformidade com o FedRAMP — e não um recurso opcional.
Para provedores de serviços em nuvem e organizações que trabalham com órgãos federais, isso cria uma necessidade clara: a validação FIPS não é apenas um recurso de segurança “opcional”, mas um requisito fundamental para a autorização do FedRAMP. Sem módulos criptográficos validados pela FIPS, um sistema não pode obter a autorização do FedRAMP, o que pode limitar sua capacidade de atender clientes federais.
O fim do suporte ao CentOS e as certificações do RHEL 7 prestes a expirar exigem medidas
Mudanças recentes no ecossistema Linux tiveram um impacto significativo nas estratégias de validação FIPS. A partir de março de 2021, os usuários do CentOS não podem mais contar com o status de validação FIPS do RHEL, devido à mudança nas políticas de suporte do CentOS e ao anúncio do fim do ciclo de vida do sistema. Isso significa que o CentOS não atende mais aos requisitos federais de conformidade, obrigando as organizações a buscar alternativas atualmente validadas.
Da mesma forma, as certificações FIPS do RHEL 7 estão sendo gradualmente transferidas para a lista histórica, o que indica que elas não são mais mantidas ativamente. Módulos essenciais, incluindo o kernel do RHEL 7 e o NSS, ainda possuem a validação FIPS 140-2, mas essas certificações estão prestes a expirar, exigindo que as organizações planejem sua transição.
Para manter a conformidade, as organizações que utilizam o CentOS ou que dependem da validação FIPS do RHEL 7 devem avaliar alternativas que atualmente possuam validação FIPS e ofereçam estabilidade a longo prazo com atualizações de segurança contínuas.
O papel da TuxCare na obtenção da conformidade com o FedRAMP
À medida que os requisitos de conformidade evoluem e os sistemas anteriormente validados chegam ao fim de sua vida útil, as organizações precisam adotar estratégias proativas para manter tanto a segurança quanto a conformidade regulatória. É nesse ponto que o Suporte Empresarial da TuxCare para o AlmaLinux se torna essencial.
Nossa abordagem garante o acesso a módulos validados pela FIPS, oferece suporte à conformidade de longo prazo em um cenário de segurança em constante evolução e ajuda a atender aos requisitos do FedRAMP por meio da implementação dos controles de segurança da norma NIST 800-53 — o que geralmente é alcançado por meio do fortalecimento de segurança de acordo com as diretrizes CIS/STIG. O serviço oferece:
- Módulos validados pela FIPS para o AlmaLinux, com atualizações de segurança em conformidade com a FIPS e revalidação contínua para CVEs relevantes para a segurança da FIPS
- Um caminho de transição contínuo a partir de sistemas em fim de vida útil ou historicamente validados
- Suporte contínuo à conformidade para ajudar as organizações a lidar com os requisitos de segurança em constante evolução, incluindo o fortalecimento de sistemas de acordo com as diretrizes CIS/STIG
As organizações que buscam um ambiente estável e em conformidade devem levar em conta que simplesmente confiar em validações históricas ou em distribuições em fim de vida útil não é mais uma estratégia viável. A combinação dos requisitos do FedRAMP com a evolução dos status de validação FIPS exige uma abordagem mais proativa para a gestão da conformidade.
Suporte Técnico
Documentação
Entrar
Entre em contato conosco
