Le standard de cryptographie FIPS 140
Les standards américains FIPS (Federal Information Processing Standards) sont des normes et des lignes directrices pour les systèmes d’information des agences publiques, élaborées par le National Institute of Standards and Technology (NIST). De nombreuses entreprises privées utilisent aussi ces standards, par exemple les fournisseurs de Cloud public pour les modules HSM (Hardware Security Module) stockant les clés. Certains documents FIPS sont obligatoires pour les agences publiques américaines en application de la loi FISMA. La norme FIPS 140 spécifie les exigences de sécurité auxquelles doit satisfaire un module cryptographique.
Transition FIPS 140-2 vers 140-3
Le FIPS 140-3 a été approuvé en 2019 pour remplacer le FIPS 140-2. Cette version introduit des changements importants et fait référence à la norme ISO/IEC 19790:2012 (exigences de sécurité pour les modules cryptographiques).
Les tests relatifs à ces exigences doivent être conformes à la norme ISO/IEC 24759:2017. Les modules précédemment certifiés avec l’ancienne version FIPS 140-2 sont valables 5 ans et ne peuvent pas dépasser 2026.
Contenu du FIPS 140-3
La norme spécifie les exigences de sécurité auxquelles doit satisfaire un module cryptographique d’un système de sécurité protégeant des informations sensibles mais non classifiées.
La norme prévoit quatre niveaux de sécurité croissants, de 1 à 4. Ces niveaux sont destinés à couvrir un large éventail d'applications et d'environnements dans lesquels les modules cryptographiques peuvent être utilisés. Les exigences de sécurité couvrent la conception et la mise en œuvre sécurisées d'un module cryptographique.
Ces domaines comprennent :
- La spécification du module cryptographique.
- Ses interfaces.
- Les rôles.
- L’authentification.
- La sécurité du logiciel.
- L'environnement d'exploitation.
- La sécurité physique.
- La sécurité non invasive (correspondant aux attaques cryptographiques externes au module).
- La gestion des paramètres de sécurité.
- Les autotests.
- L'assurance du cycle de vie.
- La prévention d’attaques catégorisées.
Le programme CMPV (Cryptographic Module Validation Program) est utilisé pour valider les modules cryptographiques. Le CMVP est reconnu par le NIST américain et le Centre canadien de cybersécurité. L'objectif du CMVP est de promouvoir les modules cryptographiques validés lors de l'achat d'équipements ou de services contenant des modules cryptographiques. Les fournisseurs de modules cryptographiques font appel à des laboratoires indépendants et accrédités pour les tests cryptographiques et de sécurité (CST), à l’instar des CESTI en France pour les critères communs.
