미국 NIST가 정하는 암호 모듈의 보안 요건과 인증 기준. 국제 규격 ISO/IEC 19790을 바탕으로 하며, FIPS 140-2의 후속으로 2020년에 인증 접수가 시작되었다. 암호 알고리즘의 구현, 키 관리, 자가 테스트, 물리적 안전성 등을 평가하며, 보안 레벨 1~4의 단계가 있다. HSM이나 보안 칩 조달 조건으로 자주 사용된다.
일본어 명칭: FIPS 140-3
FIPS 140-3은(는) 하드웨어 보안의 최신 동향, 암호 기술의 기초와 응용 등 2개 분야의 연습 문제 2개에 나와요.
분야: 하드웨어 보안의 최신 동향
레벨 1은 승인된 암호 알고리즘을 올바르게 구현하고 있으면 되며, 물리적으로는 제품으로서 일반적인 품질의 부품일 것이 요구되는 정도입니다. 레벨 2에서는 연 흔적이 남는 봉인이나 코팅 등의 변조 흔적과, 역할 기반의 이용자 인증이 추가됩니다. 레벨 3에서는 열거나 탐색하기 어렵게 하고 감지하면 키 등의 중요한 값을 지우는 것과, 개인별 인증이 요구됩니다. 레벨 4에서는 외장의 어느 곳으로부터의 침입이든 감지하여 즉시 값을 지우는 것과, 전압이나 온도가 범위를 벗어났을 때의 보호까지 요구됩니다.
평가 대상은 암호 모듈로, IC 칩, 기판, 장치 전체, 소프트웨어 라이브러리 등 경계를 정한 것이 대상이 됩니다. 인정을 받은 시험 기관이 알고리즘 구현이 올바른 결과를 내는지의 시험, 키의 생성·보관·소거 방법, 전원 투입 시 등의 자가 테스트, 물리적 대책 등을 조사하고, NIST와 캐나다 기관에 의한 제도(CMVP)가 인증합니다. FIPS 140-3에서는 상위 레벨에서 전력이나 시간 등으로부터 정보가 새어 나가는 비침습 공격에 대한 대책도 다룹니다.
FIPS 140-3은 암호 모듈이 정해진 요건을 충족하는지를 확인하는 기준으로, 미국이나 캐나다 정부 기관의 조달에서 요구되므로 민간 제품에서도 널리 사용되고 있습니다. 공통 평가 기준은 제품별로 보호하는 기능을 보안 목표 명세서로 정하고, 평가의 엄밀함을 EAL로 나타내는, 더 일반적인 평가 프레임워크입니다. IC 카드 칩처럼 두 인증을 모두 받는 제품도 있습니다.
정답: C. 레벨 2는 연 흔적이 남을 것, 레벨 3은 열기 어렵게 하고 감지하면 키를 지울 것, 레벨 4는 외장 전체에서의 침입 감지나 전압·온도 이상에 대한 대책까지 요구한다
FIPS 140-3은 미국 NIST가 정하는 암호 모듈 기준으로, 국제 규격 ISO/IEC 19790을 바탕으로 하며, FIPS 140-2의 후속으로 2020년에 인증 접수가 시작되었습니다. 레벨 1에서는 제품으로서 일반적인 품질의 부품이면 되고, 레벨 2에서는 연 흔적이 남는 봉인이나 코팅, 레벨 3에서는 열거나 탐색하기 어렵게 하고 감지하면 키 등의 중요한 값을 지울 것, 레벨 4에서는 외장 전체에서 침입을 감지하는 것과 전압이나 온도가 범위를 벗어났을 때의 보호가 요구됩니다. 인증 대상은 물리적 안전성뿐 아니라 암호 알고리즘의 올바른 구현, 키 관리, 자가 테스트 등에도 미칩니다. HSM이나 보안 칩을 조달하는 조건으로 레벨 지정이 자주 사용됩니다.
NIST의 이행 계획에서는 FIPS 140-2 인증은 2026년 9월 21일에 모두 과거(Historical) 목록으로 옮기기로 되어 있습니다. 과거 목록으로 옮겨진 제품도 기존 시스템에서 추가로 구매하여 사용하는 것은 허용되지만, 새로 조달할 때는 FIPS 140-3 인증을 받았는지를 그 시점의 목록에서 확인하는 것이 확실합니다(2026년 10월 시점의 정보).
보호할 키의 가치와 놓이는 환경으로 정합니다. 데이터센터의 키 관리처럼 물리적 공격도 상정한다면 레벨 3이 많이 쓰이며, 최상위 키나 가혹한 환경에서는 레벨 4가 선택되기도 합니다. 레벨이 높을수록 비용과 제약도 늘어납니다.
FIPS 140-3은 미국 NIST가 정하는 암호 모듈 기준으로, 국제 규격 ISO/IEC 19790을 바탕으로 하며, FIPS 140-2의 후속으로 2020년에 인증 접수가 시작되었습니다.
암호 모듈 인증 기준인 FIPS 140-3의 보안 레벨 1~4에 대해, 물리적 안전성 요구의 설명으로 올바…장치를 열려고 하면 키를 소거하는 등의 변조 방지성을 가지며, 많은 제품은 FIPS 140-3 등의 기준에 의한 인증을 받고 있습니다.
HSM(하드웨어 보안 모듈)의 역할로 올바른 것은?HSM(하드웨어 보안 모듈) 인증 기관(Certificate Authority) 변조 방지성(Tamper Resistance) TPM 기밀 컴퓨팅(Confidential Computing) 레이저 오류 주입(Laser Fault Injection) 로직 로킹(Logic Locking) 섀도 스택(Shadow Stack) 수론 변환(Number-Theoretic Transform) 일시적 실행 공격(Transient Execution Attack)