Агентство национальной безопасности США (АНБ) использовало для ранжирования криптографических продуктов или алгоритмов сертификацию, называемую типами продуктов . Типы продуктов были определены в Национальном глоссарии по обеспечению безопасности информации (CNSSI № 4009, 2010), который использовался для определения продуктов типов 1, 2, 3 и 4. [1] Определения продуктов числового типа были удалены из правительственного лексикона [2] и больше не используются в государственных закупках.
Продукт типа 1 представлял собой устройство или систему, сертифицированную АНБ для использования в криптографической защите секретной информации правительства США . Продукт типа 1 определялся как:
Криптографическое оборудование, сборка или компонент, классифицированные или сертифицированные АНБ для шифрования и дешифрования секретной и конфиденциальной информации национальной безопасности при наличии соответствующего ключа. Разработаны с использованием установленных бизнес-процессов АНБ и содержат одобренные АНБ алгоритмы. Используется для защиты систем, требующих самых строгих механизмов защиты.
Они были доступны пользователям правительства США , их подрядчикам и спонсируемым на федеральном уровне негосударственным организациям США, на которые распространялись экспортные ограничения в соответствии с Правилами международной торговли оружием .
Сертификация типа 1 представляла собой строгий процесс, который включал тестирование и формальный анализ (помимо прочего) криптографической безопасности, функциональной безопасности, устойчивости к взлому , безопасности выбросов ( EMSEC / TEMPEST ) и безопасности процесса производства и распространения продукции. [3]
Продукт типа 2 представлял собой несекретное криптографическое оборудование, узлы или компоненты, одобренные АНБ для использования в телекоммуникациях и автоматизированных информационных системах для защиты информации, составляющей государственную безопасность , как определено ниже:
Криптографическое оборудование, сборка или компонент, сертифицированные АНБ для шифрования или дешифрования конфиденциальной информации национальной безопасности при наличии соответствующего ключа. Разработаны с использованием установленных бизнес-процессов АНБ и содержат одобренные АНБ алгоритмы. Используется для защиты систем, требующих механизмов защиты, превосходящих лучшие коммерческие практики, включая системы, используемые для защиты несекретной информации национальной безопасности.
Изделие типа 3 представляло собой устройство для использования с конфиденциальной, но несекретной (SBU) информацией в системах, не относящихся к национальной безопасности, определяемой как:
Несекретное криптографическое оборудование, сборка или компонент, используемые при наличии соответствующего ключа для шифрования или дешифрования несекретной конфиденциальной правительственной или коммерческой информации США, а также для защиты систем, требующих механизмов защиты, соответствующих стандартной коммерческой практике. Разработанные с использованием установленных коммерческих стандартов и содержащие одобренные NIST криптографические алгоритмы/модули или успешно оцененные Национальным партнерством по обеспечению безопасности информации (NIAP).
Одобренные алгоритмы шифрования включают трехключевой Triple DES и AES (хотя AES также может использоваться в сертифицированных NSA продуктах Type 1 [ требуется ссылка ] ). Одобрения для DES , двухключевого Triple DES и Skipjack были отозваны по состоянию на 2015 год. [4]
Продукт типа 4 представлял собой алгоритм шифрования , зарегистрированный в NIST , но не являющийся Федеральным стандартом обработки информации (FIPS), который определялся следующим образом:
Неоцененное коммерческое криптографическое оборудование, сборки или компоненты, которые ни NSA, ни NIST не сертифицируют для использования в государственных целях. Эти продукты обычно поставляются как часть коммерческих предложений и соответствуют коммерческой практике поставщика. Эти продукты могут содержать либо фирменные алгоритмы поставщика, либо алгоритмы, зарегистрированные NIST, либо алгоритмы, зарегистрированные NIST и опубликованные в FIPS.
Части этой статьи были взяты из Федерального стандарта 1037C , Национального глоссария по безопасности информационных систем и 40 USC 1452.