INTEGRITY Документация

← Справочные архитектуры / reference-architecture / diagrams / security

Соответствие FIPS 140 уровня 3 в Cloudflare Application Services

Введение

В этом документе описана эталонная архитектура для соответствия уровню 3 стандарта Federal Information Processing Standard (FIPS) 140 с использованием Application Services от Cloudflare. FIPS 140 представляет собой государственный стандарт США, определяющий требования безопасности к криптографическим модулям, защищающим конфиденциальную информацию в компьютерных и телекоммуникационных системах.

Стандарт FIPS 140 определяет четыре уровня безопасности, и уровень 3 является самым строгим для немилитаризованных приложений. Он требует физической защиты от несанкционированного вмешательства, чтобы исключить несанкционированный доступ к криптографическим ключам и критически важным параметрам безопасности. Сюда входят такие меры, как прочные корпуса, пломбы, показывающие факт вскрытия, и аутентификация на основе идентификации личности.

Соответствие требованиям FIPS 140, особенно уровня Level 3, крайне важно для организаций, работающих с конфиденциальными данными, особенно в регулируемых отраслях, таких как:

Соответствие стандарту FIPS 140 демонстрирует серьезный подход к защите данных, укрепляет доверие клиентов и партнеров и обеспечивает выполнение нормативных требований. Эта эталонная архитектура подробно описывает, как использовать надежные функции безопасности Cloudflare для соответствия этим строгим стандартам.

Уровни FIPS 140-3

Организации используют стандарт FIPS 140-3, чтобы убедиться, что выбранное оборудование соответствует определенным требованиям безопасности. Стандарт сертификации FIPS определяет четыре последовательно возрастающих качественных уровня безопасности.

Требует промышленного оборудования и алгоритмов, прошедших независимую проверку.

Добавляет требования к физической защите от вскрытия (с индикацией) и ролевой аутентификации.

Добавляет требования к физической устойчивости к взлому и аутентификации на основе идентификаторов. Также требуется физическое или логическое разделение интерфейсов, через которые критические параметры безопасности поступают в модуль и покидают его. Приватные ключи могут поступать и покидать модуль только в зашифрованном виде. Уровень Level 3 также требует, чтобы модуль обнаруживал выход напряжения или температуры за допустимые пределы и реагировал на это (environmental failure protection, EFP), либо проходил тестирование environmental failure testing (EFT).

На этом уровне требования к физической защите становятся строже: устройство должно активно реагировать на вмешательство и стирать своё содержимое при обнаружении различных видов физических атак. Также требуются защита EFP, защита от fault injection и многофакторная аутентификация.

Основные компоненты

Обзор архитектуры

Диаграмма архитектуры ниже показывает ключевые компоненты и потоки данных, необходимые для соответствия уровню FIPS 140 Level 3 при использовании Cloudflare Application Services и всех обязательных для этого компонентов.

flowchart TB
  User((User/Client)) --> |1.SNI = keyless.example.com| CF[Cloudflare Edge Network]

  subgraph CF [Cloudflare Edge]
      KeylessSSL[Keyless SSL Service]
  end

  subgraph Private[Private Infrastructure]
      Tunnel[Cloudflare Tunnel]
      HSM[Hardware Security Module]
  		KeylessModule[Keyless Module]
  end

  Tunnel -->|2.Establish tunnel| KeylessSSL
  KeylessSSL -->|3.Keyless operation required| Tunnel
  Tunnel -->|4.Forward to HSM| KeylessModule
  KeylessModule -->|5.Key Operations via PKCS11| HSM

  classDef cloudflare fill:#F6821F,stroke:#fff,stroke-width:2px,color:#fff
  classDef aws fill:#232F3E,stroke:#fff,stroke-width:2px,color:#fff
  classDef default fill:#fff,stroke:#000,stroke-width:2px, color:#000

  class CF,KeylessSSL,Tunnel,KeylessModule cloudflare
  class HSM aws
  class User default
  1. Пользователь/клиент: Инициирует HTTPS-запрос к домену, защищённому Cloudflare. Расширение Server Name Indication (SNI) в запросе указывает имя домена, например, keyless.example.com. Этот домен сопоставлен с сертификатом, объявленным как Keyless, это означает, что в Cloudflare импортируется только публичная часть, но при этом также объявляется keyless-слушатель для последующих операций с ключом.
  2. Установка защищенного туннеля Cloudflare: Cloudflare туннель компонент используется для установления безопасного и надёжного соединения с глобальной сетью Cloudflare. За пределы периметра выходит только исходящий трафик, и его можно ограничить с помощью межсетевого экрана. Это защищённое соединение используется как защищённый оверлей для ключевых операций.
  3. Ключевые операции: Cloudflare SSLопределяет, что требуется keyless-операция, и направляет все операции с ключами в keyless-модуль, установленный в частной инфраструктуре. Весь трафик проходит через ранее установленный защищённый туннель.
  4. Модуль Keyless: модуль Keyless отвечает за передачу операций с ключом в аппаратный модуль безопасности (HSM) для выполнения криптографических операций. Keyless-модуль представляет собой программный компонент, работающий как прокси между Cloudflare и HSM, гарантируя, что закрытый ключ никогда не покидает HSM.
  5. Ключевые операции через PKCS11: HSM выполняет криптографические операции с использованием закрытого ключа, надёжно хранящегося внутри устройства. HSM представляет собой защищённое от несанкционированного доступа устройство, которое безопасно управляет криптографическими ключами и выполняет криптографические операции, обеспечивая максимальный уровень защиты конфиденциальных данных.

Дополнительные материалы