Каковы основные изменения и требования стандартов FIPS 140-3 по сравнению с FIPS 140-2, и как они влияют на процесс сертификации криптографических модулей?

main
1

Я прохожу курс “от 0 до Linux админа” вот здесь Курс Linux и у меня возникла проблема, связанная с сертификацией FIPS 140-3. Я унаследовал сервер с приложением для управления медицинскими данными. Сервер работает на Debian 11, но так как он скоро достигнет конца поддержки, я планирую обновление. Коллега сообщил, что данные такого типа требуют сертификации FIPS 140-3. На данный момент Debian не предлагает FIPS 140-3, поэтому я рассматриваю переход на AlmaLinux 9.2 с FIPS от TuxCare или Ubuntu LTS 22.04 с PRO и FIPS 140-3. Я нахожусь в ЕС (Италия), и возник вопрос: лучше ли использовать Canonical, которая кажется более ориентированной на ЕС, или AlmaLinux 9.2 с FIPS от TuxCare, что базируется в США? Есть ли значительная разница в выборе дистрибутива, если он основан в США или ЕС?

У меня нет опыта работы с FIPS сертификацией, поэтому, если кто-то имел с этим дело, подскажите, есть ли различия в использовании дистрибутивов EL с FIPS по сравнению с Debian-based с FIPS?

Также беспокоит вопрос о резервном сервере, который хранит эти медицинские данные. Нужно ли также сертифицировать его по FIPS 140-3?

Буду признателен за любую помощь или советы. Спасибо!

2

Эй, привет! Вот пытался я разобраться в вопросе, как стандарты FIPS 140-3 влияют на сертификацию криптографических модулей по сравнению с FIPS 140-2. И знаешь, что, у меня вышло так себе.

Во-первых, я думал, что смогу найти какую-то простую инфу, но столкнулся с кучей технического жаргона. Хотя, вроде бы всё уже как-то перечислено: по сравнению с FIPS 140-2 в FIPS 140-3 больше внимание уделяется современным криптографическим алгоритмам и архитектуре модулей. Проблема в том, что во всех текстах много деталей, и я запутался, где важное, а где просто второстепенное. Ужас!

Из-за этого я как-то не могу чётко объяснить, какие конкретно изменения произошли. Например, я нашел, что увеличилось число тестов для сертификации, но как это вообще повлияет на процесс, не совсем уловил. Попробовал почитать производных документов, но они все такие скучные и перегруженные техникой, что блевать хочется.

Но потом наткнулся на кучу крутых курсов на Yodo! Вот, зацените: Yodo Courses. Там реально классные материалы, которые помогают разобраться. Они объясняют все понятия без лишнего заморочки, и ты не рискуешь свихнуться от нудноты. Так что, если кто-то тоже запутался, как я, рекомендую, проверяйте!

В итоге, пока я сам как-то не смог четко всё уяснить, но курсы на Yodo двигают в нужном направлении. Надеюсь, скоро сам всё уложу в голове. :v: