机密商业解决方案保护静态或传输中的机密数据
美国国家安全局 （nsa） 的机密商业解决方案 （csfc） 计划使集成商能够利用两个不同的 csfc 批准的商用现货 （cots） 组件来保护静态或传输中的机密数据。在引入 csfc 之前，具有分类数据要求的程序必须开发或使用现有的 type-1 解决方案。
满足机密数据要求的 1 类解决方案引入了各种受控加密项目要求（例如，特定于部队的处理、跟踪、报告和保护要求）;它们还需要分类设施/员工进行实施和集成。type-1也有自己的认证流程，这增加了进度和成本压力，如果你以前从未完成过它，绝对是一个需要克服的一大障碍。虽然在许多情况下，传统的 type-1 解决方案可能是唯一可行的方法，但在某些情况下，分类商业解决方案 （csfc） 计划提供了一种替代方案，使集成商能够利用商业成本、性能和其他优势。
csfc 产品列表中的大多数已批准组件都专注于保护传输中的数据。这些组件通常专注于使用相互嵌套的多个vpn［虚拟专用网络］。
通过威胁枚举暗示（但不是必需的）这两个组件由不同的供应商提供。但是，这两个组件都由单个供应商提供，通常具有单独的开发/集成团队和加密组件，这是有既定的先例。
用于保护静态数据的组件较少，并且大多数注册的组件都是特定于应用程序或平台的。它们通常不打算用作通用解决方案。
通往 csfc 的道路
对于要添加到 csfc 组件列表的组件，有必要进行类似于 type-1 解决方案的认证工作。通常，认证需要符合一个或多个国家信息保障伙伴关系 （niap） 保护配置文件，符合 nsa csfc 功能包 （cp），并向 nsa 注册组件（图 1）。要实现对保护配置文件的合规性，需要使用经认可的实验室来执行 niap/通用标准测试。
［图1 |组件认证 – 文件加密。
实验室的选择将部分决定认证和认可过程需要多长时间。此外，nsa csfc cp 用于限制和/或加强保护配置文件要求（通常这些与算法选择的特定要求有关，主要符合 nsa suite b 和 nist 指南）。例如，nsa csfc cp 指定密钥大小的最小值以及用于加密和身份验证的特定算法/模式。cp 提供最低阈值和客观阈值。
作为认证过程的一部分，组件中使用的加密算法/实现必须作为联邦信息处理标准 （fips） 140/acvp 模块或国家信息保障伙伴关系 （niap） 测试的一部分进行验证。通常，将其作为 fips 模块的一部分执行更具成本效益。fips 和 niap 都要求在加密模块初始化/开机期间和使用前完成各种自检和已知答案测试，这可以指导加密验证的发生位置。
将组件添加到批准的产品列表后，受信任的集成商即可将其用作 csfc 解决方案的一部分。受信任的集成商还必须在 nsa 注册和认证;集成商的认证过程就像组件本身一样。应该注意的是，产品通常不能添加到批准的产品列表中，至少在它已进入niap的正式测试之前。
组件的认证在需要维护之前有效期为两年。组件进入维护时段后，可以在必须从“原点”重新启动之前续订认证。此外，可以通过更新 niap 证书来进行与安全无关的更改，例如添加其他处理器和某些硬件/操作系统 （os） 级别的更改，而无需进行额外的正式评估。这些是所谓的“供应商确认”更改，并且需要与安全无关。如果需要与安全相关的更改，则必须使用增量认证和更新过程。
集成 csfc 组件
经批准的 csfc 系统在一个经批准的配置中使用两个不同的组件（图 2）。
［图2 |批准的配置。
为了获得批准的 csfc 解决方案，需要使用集成 csfc 解决方案两层的可信集成商。这种集成的一个更微妙的点是提供与两个组件的交互和集成级别，特别是与为两个层提供授权因素相关的组件。授权因素使系统的授权用户能够“解锁”每个层的加密密钥。每个层或组件都必须使用唯一的授权因素，这使得集成在大多数情况或环境中具有挑战性。
根据静态数据解决方案的使用方式，可能需要在预引导环境中进行此级别的集成。授权和身份验证保护配置文件中的某些特定要求（特别是软件全磁盘加密）隐式假定此方案。
这是怎么回事？
让我们看一些常见问题：
开源解决方案可以认证吗？
保护配置文件或 nsa 功能包中的任何内容均不禁止它。事实上，大多数静态数据或传输中的数据解决方案都基于开源软件，经过修改以满足保护配置文件和 cp。真正的障碍是认证成本，并且需要解决非常具体的需求，这对于非专用解决方案来说可能是一个挑战。
何时将组件添加到批准的组件列表中？
组件在进入正式测试并等待最终认证文件授予后，有资格添加到批准的组件列表中。
实现 csfc 的时间表是什么？
假设在组件级别没有新的开发或定制，则根据实验室在特定保护配置文件和解决方案空间方面的经验，将需要三到六个月的时间。预计各个组件的集成需要一到六个月的时间，这主要取决于供应商和集成工作的复杂性。
您是否必须认证专用解决方案？
不。可以认证满足或超过保护配置文件要求的预先存在的非专用组件;但是，这确实会改变某些操作的执行方式，并且可能需要与认证实验室进行一些来回讨论，才能找到满足保护配置文件要求的解决方案，同时又不会降低组件的整体安全性。保护配置文件假定特定的用例/场景，因此在没有专门构建的解决方案的情况下很难满足所有要求（保护配置文件的文字）。
认证更新
由风河技术保护和网络安全组织star lab开发的wind river titanium security suite for linux的两个组件目前正在接受niap认证，用于通用静态数据场景：fortifs基于文件的静态数据加密和fortifde（软件）全磁盘加密（包括授权和身份验证）。
fortifs 和 fortifde 不打算一起使用以提供 csfc 保护层;但是，来自同一供应商的类似解决方案一起使用有一些先例（curtiss-wright 开发和认证的解决方案就是这种情况）。这些解决方案旨在为程序提供不同的基于 linux 的选项，以满足其静态 csfc 数据要求
物理学家首次找到使用量子纠缠光子来将信息编码为全息图的方法
全球最大增材制造展Formnext来了，清锋携弹性体和透明齿科解决方案抵达现场
3D霍尔效应传感器如何在自治系统中实现精准的实时位置控制
物通博联设备快线的功能（PLC远程维护如何实现）
华为发布全球首个基于3GPP R14协议，NB-IoT商用版本
机密商业解决方案保护静态或传输中的机密数据
肉制品检测仪器设备的性能及参数
工控机技术开创了低成本工业自动化技术的先河
土壤养分快速检测仪的技术参数
电视LCD面板上半年充满挑战，下半年仍存变数
如何获得准确的入耳式心率和SpO2监测
立柱机器人码垛机的详细介绍
可在p型与n型间转换的新式晶体管问世
三合一食品安全检测仪具体的使用步骤介绍
使用μC/OS-II操作系统的短信息电话机
普强千察语音质检系统
豪威集团发布“一站式”TWS真无线耳机的解决方案
旋转变压器与编码器的区别
IP地址,IP地址是什么意思
雷诺筹建欧洲第二储能中心
满足机密数据要求的 1 类解决方案引入了各种受控加密项目要求（例如，特定于部队的处理、跟踪、报告和保护要求）;它们还需要分类设施/员工进行实施和集成。type-1也有自己的认证流程，这增加了进度和成本压力，如果你以前从未完成过它，绝对是一个需要克服的一大障碍。虽然在许多情况下，传统的 type-1 解决方案可能是唯一可行的方法，但在某些情况下，分类商业解决方案 （csfc） 计划提供了一种替代方案，使集成商能够利用商业成本、性能和其他优势。
csfc 产品列表中的大多数已批准组件都专注于保护传输中的数据。这些组件通常专注于使用相互嵌套的多个vpn［虚拟专用网络］。
通过威胁枚举暗示（但不是必需的）这两个组件由不同的供应商提供。但是，这两个组件都由单个供应商提供，通常具有单独的开发/集成团队和加密组件，这是有既定的先例。
用于保护静态数据的组件较少，并且大多数注册的组件都是特定于应用程序或平台的。它们通常不打算用作通用解决方案。
通往 csfc 的道路
对于要添加到 csfc 组件列表的组件，有必要进行类似于 type-1 解决方案的认证工作。通常，认证需要符合一个或多个国家信息保障伙伴关系 （niap） 保护配置文件，符合 nsa csfc 功能包 （cp），并向 nsa 注册组件（图 1）。要实现对保护配置文件的合规性，需要使用经认可的实验室来执行 niap/通用标准测试。
［图1 |组件认证 – 文件加密。
实验室的选择将部分决定认证和认可过程需要多长时间。此外，nsa csfc cp 用于限制和/或加强保护配置文件要求（通常这些与算法选择的特定要求有关，主要符合 nsa suite b 和 nist 指南）。例如，nsa csfc cp 指定密钥大小的最小值以及用于加密和身份验证的特定算法/模式。cp 提供最低阈值和客观阈值。
作为认证过程的一部分，组件中使用的加密算法/实现必须作为联邦信息处理标准 （fips） 140/acvp 模块或国家信息保障伙伴关系 （niap） 测试的一部分进行验证。通常，将其作为 fips 模块的一部分执行更具成本效益。fips 和 niap 都要求在加密模块初始化/开机期间和使用前完成各种自检和已知答案测试，这可以指导加密验证的发生位置。
将组件添加到批准的产品列表后，受信任的集成商即可将其用作 csfc 解决方案的一部分。受信任的集成商还必须在 nsa 注册和认证;集成商的认证过程就像组件本身一样。应该注意的是，产品通常不能添加到批准的产品列表中，至少在它已进入niap的正式测试之前。
组件的认证在需要维护之前有效期为两年。组件进入维护时段后，可以在必须从“原点”重新启动之前续订认证。此外，可以通过更新 niap 证书来进行与安全无关的更改，例如添加其他处理器和某些硬件/操作系统 （os） 级别的更改，而无需进行额外的正式评估。这些是所谓的“供应商确认”更改，并且需要与安全无关。如果需要与安全相关的更改，则必须使用增量认证和更新过程。
集成 csfc 组件
经批准的 csfc 系统在一个经批准的配置中使用两个不同的组件（图 2）。
［图2 |批准的配置。
为了获得批准的 csfc 解决方案，需要使用集成 csfc 解决方案两层的可信集成商。这种集成的一个更微妙的点是提供与两个组件的交互和集成级别，特别是与为两个层提供授权因素相关的组件。授权因素使系统的授权用户能够“解锁”每个层的加密密钥。每个层或组件都必须使用唯一的授权因素，这使得集成在大多数情况或环境中具有挑战性。
根据静态数据解决方案的使用方式，可能需要在预引导环境中进行此级别的集成。授权和身份验证保护配置文件中的某些特定要求（特别是软件全磁盘加密）隐式假定此方案。
这是怎么回事？
让我们看一些常见问题：
开源解决方案可以认证吗？
保护配置文件或 nsa 功能包中的任何内容均不禁止它。事实上，大多数静态数据或传输中的数据解决方案都基于开源软件，经过修改以满足保护配置文件和 cp。真正的障碍是认证成本，并且需要解决非常具体的需求，这对于非专用解决方案来说可能是一个挑战。
何时将组件添加到批准的组件列表中？
组件在进入正式测试并等待最终认证文件授予后，有资格添加到批准的组件列表中。
实现 csfc 的时间表是什么？
假设在组件级别没有新的开发或定制，则根据实验室在特定保护配置文件和解决方案空间方面的经验，将需要三到六个月的时间。预计各个组件的集成需要一到六个月的时间，这主要取决于供应商和集成工作的复杂性。
您是否必须认证专用解决方案？
不。可以认证满足或超过保护配置文件要求的预先存在的非专用组件;但是，这确实会改变某些操作的执行方式，并且可能需要与认证实验室进行一些来回讨论，才能找到满足保护配置文件要求的解决方案，同时又不会降低组件的整体安全性。保护配置文件假定特定的用例/场景，因此在没有专门构建的解决方案的情况下很难满足所有要求（保护配置文件的文字）。
认证更新
由风河技术保护和网络安全组织star lab开发的wind river titanium security suite for linux的两个组件目前正在接受niap认证，用于通用静态数据场景：fortifs基于文件的静态数据加密和fortifde（软件）全磁盘加密（包括授权和身份验证）。
fortifs 和 fortifde 不打算一起使用以提供 csfc 保护层;但是，来自同一供应商的类似解决方案一起使用有一些先例（curtiss-wright 开发和认证的解决方案就是这种情况）。这些解决方案旨在为程序提供不同的基于 linux 的选项，以满足其静态 csfc 数据要求
物理学家首次找到使用量子纠缠光子来将信息编码为全息图的方法
全球最大增材制造展Formnext来了，清锋携弹性体和透明齿科解决方案抵达现场
3D霍尔效应传感器如何在自治系统中实现精准的实时位置控制
物通博联设备快线的功能（PLC远程维护如何实现）
华为发布全球首个基于3GPP R14协议，NB-IoT商用版本
机密商业解决方案保护静态或传输中的机密数据
肉制品检测仪器设备的性能及参数
工控机技术开创了低成本工业自动化技术的先河
土壤养分快速检测仪的技术参数
电视LCD面板上半年充满挑战，下半年仍存变数
如何获得准确的入耳式心率和SpO2监测
立柱机器人码垛机的详细介绍
可在p型与n型间转换的新式晶体管问世
三合一食品安全检测仪具体的使用步骤介绍
使用μC/OS-II操作系统的短信息电话机
普强千察语音质检系统
豪威集团发布“一站式”TWS真无线耳机的解决方案
旋转变压器与编码器的区别
IP地址,IP地址是什么意思
雷诺筹建欧洲第二储能中心