Windows FIPS 140-Validierung

Federal Information Processing Standard (FIPS) Publication 140 ist ein US-amerikanischer Standard, der die Mindestsicherheitsanforderungen für kryptografische Module in IT-Produkten definiert. In diesem Thema wird die FIPS 140-Validierung für die kryptografischen Windows-Module vorgestellt. Die Windows-Kryptografiemodule werden in verschiedenen Microsoft-Produkten verwendet, einschließlich Windows-Clientbetriebssystemen, Windows Server-Betriebssystemen und Azure-Clouddiensten.

Microsoft verpflichtet sich aktiv, die Anforderungen des FIPS 140-Standards zu erfüllen, und überprüft kryptografische Module anhand dieses Standards seit seiner Einführung im Jahr 2001. Windows-Kryptografiemodule werden im Rahmen des Cryptographic Module Validation Program (CMVP) überprüft, einer gemeinsamen Anstrengung des U.S. National Institute of Standards and Technology (NIST) und des Canadian Centre for Cyber Security (CCCS). Der CMVP überprüft kryptografische Module anhand der Sicherheitsanforderungen für kryptografische Module (Teil von FIPS 140) und verwandter FIPS-Kryptografiestandards. Das NIST Information Technology Laboratory betreibt verwandte Programme, an denen auch Microsoft beteiligt ist: Das Cryptographic Algorithm Validation Program (CAVP) zertifiziert FIPS-zugelassene kryptografische Algorithmen und das Entropy Validation Program zertifiziert Entropiequellen nach dem NIST SP 800-90B-Standard.

Windows-Clientbetriebssysteme und kryptografische Module

Die unten aufgeführten Windows-Clientversionen enthalten kryptografische Module, die die FIPS 140-Überprüfung abgeschlossen haben. Klicken Sie auf die Version, um Details zu erhalten, einschließlich CMVP-Zertifikat, Sicherheitsrichtliniendokument und Algorithmusumfang für jedes Modul. Wenn die CMVP-Zertifikatsvalidierungsbezeichnung den Hinweis enthält, Wenn Sie im FIPS-Modus betrieben werden, müssen bestimmte Konfigurations- und Sicherheitsregeln, die in der Sicherheitsrichtlinie beschrieben sind, befolgt werden.

Windows 11-Releases

Windows 10-Versionen

Vorherige Windows-Versionen

Windows Server-Betriebssysteme und kryptografische Module

Die unten aufgeführten Windows Server-Versionen enthalten kryptografische Module, die die FIPS 140-Überprüfung bestanden haben. Klicken Sie auf die Version, um Details zu erhalten, einschließlich CMVP-Zertifikat, Sicherheitsrichtliniendokument und Algorithmusumfang für jedes Modul. Wenn die CMVP-Zertifikatsvalidierungsbezeichnung den Hinweis enthält, Wenn Sie im FIPS-Modus betrieben werden, müssen bestimmte Konfigurations- und Sicherheitsregeln, die in der Sicherheitsrichtlinie beschrieben sind, befolgt werden.

Windows Server Versionen 2022, 2019 und 2016

Halbjährliche Versionen von Windows Server

Vorherige Windows Server-Versionen

Verwenden von Windows in einem FIPS-genehmigten Betriebsmodus

Um Windows und Windows Server in einem FIPS 140-genehmigten Betriebsmodus zu verwenden, müssen alle spezifischen Konfigurations- und Sicherheitsregeln befolgt werden, die in den Modul-Sicherheitsrichtliniendokumenten beschrieben sind. Um die Sicherheitsrichtliniendokumente für eine bestimmte Produktversion anzuzeigen oder herunterzuladen, navigieren Sie in den obigen Abschnitten zur Liste der FIPS 140-validierten Module für die Version, und wählen Sie die Links zu den Sicherheitsrichtliniendokumenten aus.

Bisher mussten IT-Administratoren eine FIPS-Richtlinie konfigurieren, um die von FIPS 140 geforderten Antwortselbsttests für den Kryptografiealgorithmus zu aktivieren. Beginnend mit den Qualitätsupdates vom April 2024 (KB5036893 und KB5036909) führen die Module Cryptographic Primitives Library (bcryptprimitives.dll) und Kernel Mode Cryptographic Primitives Library (CNG.sys) von Windows-Betriebssystemen Windows 11, Windows Server 2022 und höher automatisch die Selbsttests aus, bevor diese Module einen Kryptografiealgorithmus verwenden. Die Konfiguration der alten FIPS-Richtlinie ist nur mehr erforderlich, wenn das in BitLocker beschriebene BitLocker-Szenario und die FIPS-Richtlinie weiterhin verwendet werden.

BitLocker und die FIPS-Richtlinie

Wenn die BitLocker-PIN oder Kennwortschutzvorrichtungen zum Schutz des Datenlaufwerks verwendet werden, lesen sie die veraltete FIPS-Richtlinie, um zu steuern, welche Kryptografiealgorithmen zum Erstellen der Schutzvorrichtungen verwendet werden. Wenn keine der beiden Schutzvorrichtungen in Ihrem BitLocker-Setup verwendet wird, sind keine zusätzlichen Konfigurationen erforderlich, um Windows in einem FIPS 140-genehmigten Modus zu betreiben, und Sie können die restlichen Anweisungen in diesem Abschnitt überspringen. Lesen Sie andernfalls die folgenden Überlegungen, um zu bestimmen, ob Sie die veraltete FIPS-Richtlinie konfigurieren sollten.

Wenn die alte FIPS-Richtlinie nicht aktiviert ist, verwendet BitLocker SHA2-256, um einen Schlüssel basierend auf der PIN zu generieren, was derzeit keine FIPS-genehmigte Methode ist, um einen Schlüssel aus einem Kennwort abzuleiten. Wenn die alte FIPS-Richtlinie aktiviert ist, verwendet BitLocker PBKDF2, um den PIN-Schutz abzuleiten, bei dem es sich um eine FIPS-genehmigte Schlüsselableitungsfunktion handelt. Da sich die alte FIPS-Richtlinie auf die BitLocker-Schlüsselableitung auswirkt, sollten Sie die Richtlinie vor dem Erstellen des PIN-Schutzes für den Betrieb in einem FIPS-genehmigten Modus konfigurieren.

BitLocker-Kennwortschutzvorrichtungen werden immer mithilfe des iterativen SHA2-256-Algorithmus für die Kennworterweiterung generiert. Kennwortgeschützte Wechsellaufwerke werden schreibgeschützt bereitgestellt, wenn die alte FIPS-Richtlinie aktiviert ist.

Administratoren können MDM oder Gruppenrichtlinien verwenden, um die veraltete FIPS-Richtlinie zu aktivieren. Legen Sie für MDM die AllowFipsAlgorithmPolicy auf 1 fest. Aktivieren Sie für Gruppenrichtlinien die Option Systemkryptografie: FIPS-konforme Algorithmen für Verschlüsselung, Hashing und Signatur verwenden, die sich unter Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen befinden.

Feststellen, ob ein Windows-Dienst oder eine Windows-Anwendung FIPS 140-kompatibel ist

Microsoft überprüft die Kryptografiemodule, die in Windows und anderen Produkten verwendet werden, nicht einzelne Windows-Dienste oder -Anwendungen. Wenden Sie sich an den Anbieter des Diensts oder der Anwendung, um Informationen darüber zu erhalten, ob er ein validiertes Windows-Kryptografiemodul (d. h. ein Modul, das von der CMVP überprüft wurde, um die FIPS 140-Anforderungen zu erfüllen und ein Zertifikat ausgestellt hat) auf FIPS-konforme Weise aufruft (d. h. durch Aufrufen von FIPS 140-validierter Kryptografie, das gemäß einem definierten FIPS-genehmigten Betriebsmodus konfiguriert ist).

FIPS 140 und die Commercial National Security Algorithm Suite

Die CNSA-Suite ( Commercial National Security Algorithm ) ist eine Reihe kryptografischer Algorithmen, die von der National Security Agency als Ersatz für die kryptografischen Algorithmen der NSA Suite B veröffentlicht wurden. Viele kryptografische CNSA-Algorithmen sind auch nach dem FIPS 140-Standard zugelassen. Um festzustellen, ob ein CNSA-Algorithmus in den Umfang der CAVP-validierten Algorithmen aufgenommen wurde, die in einem Microsoft-Produkt verwendet werden, navigieren Sie zur Liste der FIPS 140-validierten Module für das Produkt in den obigen Abschnitten und beziehen Sie sich auf den für jedes validierte Modul aufgeführten Algorithmusbereich. Weitere Details zum Algorithmus finden Sie in jedem Sicherheitsrichtliniendokument des Moduls.

FIPS 140- und Common Criteria-Zertifizierungen

FIPS 140 und Common Criteria sind zwei komplementäre, aber unterschiedliche Sicherheitsstandards. Während FIPS 140 die kryptografische Funktionalität validiert, bewertet Common Criteria eine breitere Auswahl von Sicherheitsfunktionen in IT-Produkten. Common Criteria-Bewertungen können sich auf FIPS 140-Validierungen stützen, um sicherzustellen, dass grundlegende kryptografische Funktionen ordnungsgemäß implementiert sind. Informationen zum Common Criteria-Zertifizierungsprogramm von Microsoft finden Sie unter Common Criteria-Zertifizierungen.

Contact

Kontaktieren Sie uns bei fips@microsoft.com Fragen oder geben Sie Feedback zu diesem Thema.

  • Last updated on