System operacyjny Microsoftu na razie nie uzyskał certyfikatu bezpieczeństwa FIPS 140-1, co teoretycznie uniemożliwia jego stosowanie w amerykańskiej administracji.

Od kilku miesięcy Microsoft próbuje uzyskać rządowy certyfikat bezpieczeństwa C2 do systemu operacyjnego Windows NT 4.0 - zarówno w wersji typu Server, jak i Workstation. Próby do tej pory nie zakończyły się sukcesem. Ponadto Microsoft ostrzega, że nie może określić, kiedy i czy w ogóle amerykańska agencja bezpieczeństwa (National Security Agency) przyzna systemowi certyfikat C2. Problemy z jego uzyskaniem utrudniają Microsoftowi przyznanie innego, znacznie ważniejszego certyfikatu Federal Information Processing Standard (FIPS) 140-1. Jest to o tyle istotne, że zgodność z FIPS 140-1 jest obecnie podstawowym wymogiem stawianym produktom informatycznym, kupowanym przez rządy USA i Kanady, jeśli mają być one przeznaczone do pracy w bezpiecznym środowisku chroniącym poufne informacje.

Certyfikaty zależne

NSA ocenia bezpieczeństwo systemu informatycznego symbolami od A1 do D (A1 to najwyższy poziom bezpieczeństwa, D - najniższy). Microsoft "mierzył" w środek skali, chcąc uzyskać dla systemu korporacyjnego certyfikat C2.

Test FIPS 140-1 umożliwia uzyskanie 2 certyfikatów gwarantujących różny poziom bezpieczeństwa. Microsoft dla systemów szyfrowania CryptoAPI systemu Windows NT 4.0 chciał uzyskać certyfikat Level 2, świadczący o wysokim bezpieczeństwie platformy. Jednak aby otrzymać taki certyfikat, moduły szyfrujące muszą pracować na platformie certyfikowanej przez NSA. Windows NT nie spełnia tego wymagania.

Aby nie tracić szansy na uzyskanie zgodności z wymogami FIPS 140-1, Microsoft zamierza certyfikować system na niższym poziomie Level 1. Według Jasona Garmesa, odpowiedzialnego w Microsofcie za bezpieczeństwo Windows NT, taki certyfikat firma powinna uzyskać najpóźniej w czerwcu br.

Certyfikat FIPS 140-1 Level 1 nie jest jednak wystarczający dla amerykańskiej administracji rządowej. Zaświadcza bowiem tylko, że algorytmy szyfrowania i zarządzania kluczami w testowanym produkcie pracują poprawnie. Podczas testów nie jest jednak weryfikowana rola tych mechanizmów w systemie zabezpieczeń systemu, tak jak przy testach drugiego poziomu.

Stary niedźwiedź...

Microsoft za późno przystąpił do testów rządowych. Testowy program FIPS 140-1 rozpoczął przed pięcioma laty Narodowy Instytut Standardów i Technologii (National Institute of Standards and Technology), a od dwóch lat prowadzone są praktyczne testy produktów. Od ub.r. amerykańskie i kanadyjskie agencje rządowe są zobowiązane do kupowania certyfikowanych (FIPS 140-1) produktów do ochrony poufnych informacji, ale nie klasyfikowanych jako tajne. Do dzisiaj tylko 30 produktów zakończyło sukcesem testy FIPS 140-1 (m.in. Netscape Communicator i SuiteSpot Server). Microsoft zgłosił system do testów dopiero w sierpniu ub.r. Gdyby nie zakończyły się one pomyślnie, teoretycznie wszystkie agencje rządowe powinny zaprzestać stosowania systemu Windows NT.

Pierwszym pakietem, mogącym pracować w trybie zgodności z FIPS 140-1, będzie przeglądarka Internet Explorer 5.0. Microsoft zamierza także udostępnić zgodną z FIPS 140-1 aplikację Outlook 98.