CMVP試験
ECSEC Laboratoryで試験可能なCMVP暗号モジュール試験またはCAVP暗号アルゴリズム試験は以下のとおりです。 JCMVP暗号モジュール試験についてはこちら。
暗号モジュール試験 （CMVP試験）
米国政府機関NISTとカナダ政府機関CSEとの共同プログラムである、CMVP（暗号モジュール認証制度）の認証取得を目的とする、FIPS 140-3に基づく試験サービスです。暗号モジュール製品がFIPS 140-3で要求されているセキュリティ要求事項に適合する製品であるかどうかを試験します。
暗号アルゴリズム試験 （CAVP試験）
CMVP認証を取得するために別途必要となるCAVP（暗号アルゴリズム試験）の認証取得を目的とする試験サービスです。CMVP認証とは独立した認証であるため、CAVP認証のみを目的とした試験も行います。試験可能な暗号アルゴリズムはこちらを参照してください。
1. CMVP暗号モジュール試験
CMVPとは？
- 安全な暗号製品を政府調達することを目的に、米国政府機関であるNISTが、カナダ政府機関であるCSEとの共同プログラムとして1995年に開始したプログラムです。
- 暗号規格のデファクトスタンダードであるFIPS 140-3（暗号モジュールセキュリティ要求事項）を採用しています。
米国及びカナダ政府機関へのCMVPの適用（調達要件）
- 暗号製品の米国及びカナダ政府調達に際しては、CMVPの認証取得が必須要件になっています。
- NSTISSP： The National Security Telecommunications and Information Systems Security Policy （情報セキュリティに関する米国国家レベルの方針）のNo.11で、米国政府の暗号製品の調達に際してCMVP認証の取得が要求されています
暗号モジュールの認証件数
CMVP認証リストで公開されている認証書発行枚数は3000件を超えています。複数の製品モデルが１枚の認証書に含まれる場合が多々あるため、認証を受けた暗号モジュール認証製品の製品数は5000製品を越えています。
CMVP（認証件数）
再認証とは？
- 既に認証を取得した暗号モジュールの新しいブランド、バージョン又はモデルをCMVP認証リストに掲載する手続きを再認証と呼びます。
- 新規試験に比べて、試験に要する期間、試験作業負荷を軽減することができます。（＝試験費用の軽減）
- どのような変更が製品に加えられるかによって9つのシナリオが用意されています。
- 認証機関による認証作業（認証レビュー）において、再認証のレビューは新規認証より優先されます。
申請者が用意するドキュメント等
申請者が用意するドキュメント等は概ね次のとおりです。試験開始時にすべてが揃っている必要はありませんが、すべてが揃うまでは試験は完了しません。
- VE回答書
- セキュリティポリシ
- 有限状態モデル（FSM）
- 構成管理文書
- 機能仕様書
- ソースコード（又はハードウェア記述言語のコード）
- クリプトオフィサガイダンス
- ユーザガイダンス
- ベンダ試験文書
試験期間と費用
試験期間と費用は次に列挙する要因によって細かく異なります。
（すなわち、次の要因の情報があればおおまかな見積もりが可能です。）
（すなわち、次の要因の情報があればおおまかな見積もりが可能です。）
- 認証を希望するセキュリティレベル
- 暗号モジュールのタイプ（ハードウェア、ソフトウェア、ファームウェアなど）
- 搭載している暗号アルゴリズムの種類と数
- 搭載している暗号サービスの種類と数
- （ソフトウェアの場合）動作可能なOSの種類と数
2. CAVP試験
CMVP認証を取得するために別途必要となるCAVP（暗号アルゴリズム試験）の認証取得を目的とする試験サービスです。CMVP認証とは独立した認証であるため、CAVP認証のみを目的とした試験も行います。
CAVPとは？
- CAVPはCryptographic Algorithm Validation Program（暗号アルゴリズム認証制度）を意味します。
- CMVPと同様、米国政府機関NISTとカナダ政府機関CSEとの共同プログラムです。
- CAVPによって承認又は推奨された暗号アルゴリズム、乱数（ビット）生成器及び鍵確立技術がCAVP認証の対象です。
- 試験機関が提供するパラメータを入力として処理結果を生成し、その値が正しい場合、CAVP認証が与えられます。
少ない費用と期間で認証取得が可能
- 通常、大きな問題が生じない場合、試験の申し込みから認証取得までの期間は一カ月程度です。
- 暗号モジュール試験と比べるとはるかに負荷の小さな試験です。
CMVP認証とCAVP認証の関係
- 以前CMVP認証の一部だったアルゴリズム試験が分離されて独立した認証を与えるようになりました。
- CMVP認証の代わりにはなりません。米国政府及びカナダ政府の暗号製品の調達に際して要求されているのはCMVP認証であり、CAVP認証ではありません。
お問い合わせ 評価又は試験のご依頼、ご質問、ご相談のお問い合せは、下記の問い合せ先へご連絡ください。 ■電子メール labinquiry@ecsec.jp |