FIPS : Federal Information Processing Standard
Sécurité
Norme américaine définissant des exigences de sécurité pour les modules cryptographiques, notamment les modules cryptographiques matériels, avec plusieurs niveaux d'assurance.
Objectif : Garantir la robustesse et la fiabilité des modules cryptographiques utilisés dans les systèmes gouvernementaux et critiques.
Niveaux de sécurité : FIPS 140-3 définit quatre niveaux croissants, du niveau 1 (exigences de base) au niveau 4 (protection contre les attaques physiques actives).
Application : Certifie les modules cryptographiques matériels et autres composants cryptographiques pour assurer leur conformité aux standards de sécurité reconnus.
Organisme émetteur : Le NIST (National Institute of Standards and Technology) est responsable de la publication et de la maintenance des normes FIPS.
Ce qui arrive si on s'en passe
Sans exigence FIPS 140-3, un module cryptographique se choisit sur la foi de son fabricant : rien ne garantit que les algorithmes sont correctement implémentés, que les clés ne peuvent pas sortir, ni que le boîtier résiste à une ouverture physique. Dans les systèmes gouvernementaux et critiques qui imposent cette certification, un produit non validé n'est pas recevable, et la découverte se fait souvent à l'audit, une fois le déploiement terminé. Confondre les niveaux expose aussi à acheter un niveau 1 là où la menace appelle une protection contre les attaques physiques. Un certificat ne rend pas un module invulnérable ; il évite seulement de le croire sur parole, ce qui est déjà un progrès considérable.
Explication de la marmotte
Imagine un coffre-fort spécial pour garder des secrets très importants, comme des codes ou des mots de passe. La règle dont on parle est comme un guide qui dit comment fabriquer ce coffre-fort pour qu’il soit vraiment sûr. Il existe plusieurs niveaux, un peu comme des badges, qui montrent à quel point le coffre est résistant aux voleurs. Cette règle est utilisée surtout aux États-Unis pour s’assurer que les objets qui protègent les informations restent fiables et empêchent les mauvaises personnes de les voler.
Où ce terme est utilisé
- Lire une certification FIPS 140-3 ou Critères Communs d'un HSM (10 occurrences)
- NIST (4 occurrences)
- Auditer un HSM pour la conformité PCI DSS dans les paiements (3 occurrences)
- Gouverner la cryptographie: inventaire, agilité et conformité (3 occurrences)
- Héritage, politique et limites de la cryptographie (3 occurrences)
- Choisir, combiner et migrer les algorithmes symétriques (2 occurrences)
- Condensés cryptographiques : propriétés, constructions et familles (2 occurrences)
- Organismes (2 occurrences)
- Tester, auditer, répondre et migrer (2 occurrences)
- Vulnérabilités documentées des HSM certifiés (2 occurrences)