FIPS 140 (米暗号モジュール認証)（フィップス140）
NIST 1994年制定の暗号モジュール認証規格。米政府機関調達必須・銀行 / 医療業界事実上標準、FIPS 140-2 (2001) / 140-3 (2019) で現代化。
概要
FIPS 140 (Federal Information Processing Standards Publication 140) はNIST (米国立標準技術研究所) が1994年に制定した暗号モジュール認証規格。米政府機関 (NSA / DoD / IRS等) 調達 / 機密情報処理に必須・銀行 / 医療 / 金融 / 暗号通貨業界の事実上標準。1994年FIPS 140-1 制定 → 2001年FIPS 140-2 改訂 → 2019年FIPS 140-3 (ISO/IEC 19790:2012 採用) で現代化、CMVP (Cryptographic Module Validation Program) で第三者試験。
FIPS 140 バージョン
| バージョン | 年 | 状態 |
|---|---|---|
| FIPS 140-1 | 1994 | 廃止 |
| FIPS 140-2 | 2001 | 2026年完全廃止予定 |
| FIPS 140-3 | 2019 | 現行 (2026年以降唯一の有効) |
FIPS 140-3 はISO/IEC 19790:2012 を基盤に採用、国際標準との整合性向上。
4セキュリティレベル
| Level | セキュリティ要件 | 用途 |
|---|---|---|
| Level 1 | 最小 (Software のみOK) | 一般商用 |
| Level 2 | 物理改竄証跡 (Tamper-Evident) | 医療・金融 |
| Level 3 | 物理改竄防止 (Tamper-Resistant) | 機密処理 |
| Level 4 | 完全物理セキュリティ + 環境センサ | 軍事・トップシークレット |
各レベルは10領域 (Cryptographic Module Specification / Roles & Authentication / Software Security / Self-Tests / Design Assurance 等) で評価。
CMVP (Cryptographic Module Validation Program)
NIST + Canada CCCS 共同運営の第三者試験プログラム:
- 認証機関: NVLAP 認定21試験機関
- 試験期間: 12-24ヶ月
- 費用: $50,000-300,000
- 維持: 5年毎再試験
- 失効: 脆弱性発見時即無効化
CMVP Web サイトで認証モジュール一覧公開・調達担当が検索可能。
主要認証モジュール
| 製品 | レベル | 用途 |
|---|---|---|
| OpenSSL FIPS Provider | Level 1 | TLS 一般 |
| BoringSSL FIPS | Level 1 | Google / Chrome |
| Microsoft CNG | Level 1 | Windows OS |
| Apple CoreCrypto | Level 1 | macOS / iOS |
| Cisco IOS Crypto | Level 1-2 | ネットワーク機器 |
| RSA BSAFE | Level 1-2 | エンタープライズ |
| YubiKey 5 FIPS | Level 2 | 2FA トークン |
| Thales Luna HSM | Level 3 | ハードウェアセキュリティ |
| nCipher (Entrust) | Level 3 | HSM |
| Gemalto Safenet | Level 3-4 | 政府機関 |
| IBM Crypto Express | Level 4 | メインフレーム |
承認暗号アルゴリズム
FIPS 140 認証で使用可能なアルゴリズム (FIPS Approved):
| カテゴリ | 認証 |
|---|---|
| 対称暗号 | AES (128/192/256) ・3DES (廃止予定) |
| ハッシュ | SHA-256/384/512 ・SHA-3 |
| HMAC | HMAC-SHA-256+ |
| 鍵交換 | ECDH (P-256+) ・DH (>2048bit) |
| 電子署名 | ECDSA (P-256+) ・RSA-PSS ・Ed25519 (FIPS 186-5) |
| 乱数生成 | DRBG (NIST SP 800-90A) |
ChaCha20 / Curve25519 はFIPS 認証なし (2024年 まだ未承認)・Ed25519 はFIPS 186-5 (2023) で初承認。
FIPS 140 認証の意義
| 業界 | 認証要件 |
|---|---|
| 米政府機関 | 必須 |
| 米軍 | Level 3+ 必須 |
| 銀行 (FFIEC) | 推奨 (PCI DSS 関連) |
| 医療 (HIPAA) | 推奨 |
| 暗号通貨取引所 | 推奨 (Coinbase / Kraken) |
| クラウド (FedRAMP) | 必須 |
| 防衛調達 (CMMC) | 必須 |
非米国組織でも「FIPS 認証」は信頼性指標として価値。
Common Criteria との関係
| 規格 | 範囲 | 認証 |
|---|---|---|
| FIPS 140 | 暗号モジュール限定 | NIST CMVP |
| Common Criteria | 製品全般セキュリティ | EAL 1-7 |
両者は補完関係・「Common Criteria + FIPS 140-3 Level 2」が政府機関製品の標準ペア。
関連用語との違い
- vs Common Criteria: 暗号特化 / 全般セキュリティ
- vs PCI DSS: 暗号モジュール / カード業界
- vs SOC 2: 認証 / 統制プロセス
FAQ
Q1: FIPS 140 取得コスト? A: $50,000-300,000 / モジュール (Level 1-3) + 維持$10,000-50,000/年。中小企業には負担大、Open Source 認証も増加中。
Q2: 日本での意味? A: 米国販売や米政府機関向け納品で必須・日本国内向けは法的要求なし。ただし国際金融・暗号通貨業界では「FIPS 認証あり」が信頼指標。
Q3: PQC への対応? A: NIST 2024年Post-Quantum 標準 (ML-KEM / ML-DSA / SLH-DSA) のFIPS 認証は2025-2026年開始・移行期間2030年まで予定。