Cifrado validado FIPS, sin tocar las máquinas.
Access Gate cifra cada sesión en el proxy. Las máquinas de producción siguen como están. Todas las cipher suites están aprobadas por el NIST y cumplen FIPS según SP 800-52.
Última actualización:
Cómo Access Gate cifra los CUI en tránsito.
Los protocolos industriales como Modbus, EtherNet/IP y DNP3 transmiten en texto plano. Access Gate resuelve esto cifrando el tráfico entre el usuario y el proxy con cipher suites validadas FIPS. El segmento en texto plano está aislado en una micro-DMZ.
Qué está validado y dónde comprobarlo.
Una afirmación FIPS solo vale si nombra el módulo y su certificado. Access Gate no incorpora criptografía propia. Los algoritmos aprobados provienen de un módulo criptográfico de kernel validado FIPS 140-3. Figura abajo con su certificado CMVP, para que usted lo compruebe ante el NIST.
- Módulo
- Kernel Cryptography Module for AlmaLinux 9
- Fabricante
- CloudLinux Inc., división TuxCare
- Norma
- FIPS 140-3, nivel global 1
- Certificado CMVP
- n.º 4750, validado el 2 de agosto de 2024, actualizado el 7 de agosto de 2025
- Tipo de módulo
- Software, multi-chip stand alone
Un punto que conviene redactar con precisión en un SSP. El NIST valida módulos criptográficos y emite números de certificado; no certifica productos. La afirmación precisa y defendible es que Access Gate usa un módulo validado FIPS 140-3 al amparo del certificado n.º 4750, en una forma que el evaluador puede comprobar en el listado del CMVP.
Cipher suites TLS 1.3.
Suites TLS 1.3 utilizadas por Access Gate. Todas proporcionan perfect forward secrecy por diseño.
| Cipher Suite | Status | Reference |
|---|---|---|
| TLS_AES_128_GCM_SHA256 | FIPS | TLS 1.3, NIST SP 800-52, FIPS 197 (AES-128) |
| TLS_AES_256_GCM_SHA384 | FIPS | TLS 1.3, NIST SP 800-52, FIPS 197 (AES-256) |
Cipher suites TLS 1.2.
Suites TLS 1.2 soportadas para compatibilidad con clientes más antiguos.
| Cipher Suite | Status | PFS | Note |
|---|---|---|---|
| TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 | FIPS | Yes | ECDHE key exchange, forward secrecy |
| TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 | FIPS | Yes | ECDHE key exchange, forward secrecy |
| TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 | FIPS | Yes | ECDHE key exchange, forward secrecy |
| TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 | FIPS | Yes | ECDHE key exchange, forward secrecy |
| TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 | FIPS | Yes | CBC mode, forward secrecy |
| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 | FIPS | Yes | CBC mode, forward secrecy |
| TLS_RSA_WITH_AES_128_GCM_SHA256 | FIPS | No | No perfect forward secrecy |
| TLS_RSA_WITH_AES_256_GCM_SHA384 | FIPS | No | No perfect forward secrecy |
| TLS_RSA_WITH_AES_128_CBC_SHA256 | FIPS | No | No perfect forward secrecy |
Note on PFS: Las suites sin perfect forward secrecy (PFS) están aprobadas por FIPS pero deben ser despriorizadas. Access Gate negocia las suites ECDHE primero.
Las máquinas mantienen sus protocolos nativos.
Cifrado en el proxy.
El cifrado ocurre en el proxy Access Gate. Las máquinas CNC y sistemas de etiquetado continúan con sus protocolos nativos.
El texto plano queda en una micro-DMZ.
El segmento en texto plano entre proxy y máquina está contenido en una micro-DMZ aislada.
Evidencias para CMMC SC 3.13.8.
Access Gate genera exports de configuración TLS, logs de negociación y diagramas micro-DMZ para la evaluación C3PAO.
Preguntas sobre cifrado FIPS.
Todas las cipher suites integradas en Access Gate están aprobadas por NIST según FIPS 197 (AES) y SP 800-52 (TLS).
Access Gate utiliza un módulo validado FIPS 140-3, certificado CMVP n.º 4750. El NIST valida módulos, no productos. Los algoritmos aprobados incluyen AES-128, AES-256, SHA-256, SHA-384, ECDHE y RSA. TLS se basa en el paquete crypto/tls de la biblioteca estándar de Go, con cipher suites conformes a FIPS.
Access Gate prefiere suites TLS 1.3 primero. Si el cliente no soporta TLS 1.3, recurre a suites TLS 1.2 ECDHE con modo GCM.
El usuario se conecta a Access Gate por TLS. Access Gate termina la sesión cifrada y reenvía el tráfico a la máquina por su protocolo nativo dentro de una micro-DMZ aislada.
SC 3.13.8 requiere cifrado de CUI en tránsito. Para activos OT, Access Gate proporciona un control compensatorio: cifrado TLS del lado usuario, segmento en texto plano aislado en micro-DMZ.
El Artículo 21 NIS2 requiere cifrado apropiado para comunicaciones de red. Access Gate lo satisface con TLS validado FIPS en todas las rutas de acceso.
Sí. La configuración de Access Gate permite restringir las cipher suites disponibles.
Revisemos juntos el cifrado.
Repasamos las cipher suites, la micro-DMZ y las evidencias CMMC para sus plantas.
Hablar con ventas