CSRC : Computer Security Resource Center
Sécurité
CSRC : Computer Security Resource Center. « Centre de ressources en sécurité informatique », par analogie avec la bibliothèque municipale où dorment les normes que tout le monde cite et que si peu ont ouvertes.
Contenu : Le site du NIST consacré à la sécurité informatique publie les normes FIPS, les documents de la série SP, les projets en consultation publique et un glossaire terminologique consultable en ligne.
Validations : Il héberge les listes publiques des programmes de validation : CMVP (Cryptographic Module Validation Program) pour les modules et CAVP (Cryptographic Algorithm Validation Program) pour les implémentations d'algorithmes. Un produit « conforme » sans numéro de certificat dans ces listes relève de la foi plutôt que de la preuve.
Projets : On y suit les chantiers de normalisation, dont celui de la cryptographie post-quantique, avec leurs brouillons, leurs commentaires publics et leurs versions finales.
Brouillons et versions finales : Un document en brouillon peut encore changer ; seule la version finale engage. Citer un brouillon comme une norme est une façon élégante de se tromper avec une référence exacte.
Ce qui arrive si on s'en passe
Ignorer le CSRC, c'est se priver des listes CMVP et CAVP, qui disent si un module ou une implémentation cryptographique a réellement été validé. Un fournisseur qui annonce un produit « conforme » ne peut alors plus être confronté à un numéro de certificat, et l'achat repose sur la plaquette. On risque aussi de citer comme norme un document encore en brouillon, susceptible de changer, ou de manquer la version finale d'un chantier comme celui de la cryptographie post-quantique. La bibliothèque est ouverte, gratuite et bien rangée ; il ne lui manque que des lecteurs, ce qui est le drame de toutes les bibliothèques.
Explication de la marmotte
Un institut public américain rassemble sur un même site internet tous ses documents consacrés à la protection des ordinateurs : des règles officielles, de longs guides pratiques, un dictionnaire des termes du métier et des listes de produits qui ont passé des tests sérieux. C'est une sorte de grande bibliothèque gratuite, consultée par des spécialistes du monde entier. Quand un fabricant prétend que son appareil a été vérifié, on peut aller sur ce site pour contrôler que c'est vrai.
Où ce terme est utilisé
- Organismes (2 occurrences)