Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Principaux enseignements
- FIPS 140-2 est une norme américaine et canadienne qui valide les modules cryptographiques dans les logiciels et le matériel.
- Les organisations continuent d'utiliser la norme FIPS 140-2 pour les systèmes existants, en particulier dans les secteurs réglementés, car les certificats existants restent valables.
- FIPS 140-3 est la norme actuelle pour toutes les nouvelles validations, s'alignant sur les exigences internationales et les protocoles de test plus stricts.
La norme FIPS 140-2 n'est plus acceptée pour de nouvelles validations, mais des milliers de systèmes critiques au sein de l'administration, de la finance et de l'infrastructure s'appuient toujours sur ses modules cryptographiques validés pour assurer leur sécurité. Pour les organisations qui utilisent d'anciens modules validés par la norme FIPS, il est essentiel de bien comprendre ce régime de conformité et ses principales différences par rapport à la norme FIPS 140-3 mise à jour, afin d'assurer une conformité continue.
Ce guide simplifie la norme FIPS 140-2 et explique le passage à la norme FIPS 140-3 sans rompre la validation cryptographique. Vous découvrirez également comment des solutions telles que TuxCare Enterprise Support vous aident à maintenir des systèmes certifiés FIPS avec des correctifs de sécurité conformes à FIPS pour les modules validés FIPS.
La conformité à la norme FIPS 140-2 expliquée en termes simples
La norme FIPS 140-2 est une norme de sécurité américaine (National Institute of Standards and Technology) et canadienne qui valide la manière dont les modules cryptographiques sont conçus, mis en œuvre et protégés. En pratique, elle garantit que la cryptographie de votre système d'exploitation, de vos applications et de votre matériel répond à des exigences de sécurité strictes, de niveau gouvernemental, pour le traitement de données sensibles, mais pas top secrètes. Bien que les nouvelles validations aient pris fin en 2022, de nombreuses organisations utilisent encore des modules cryptographiques existants dans le cadre de cette norme.
Ces modules de chiffrement resteront applicables jusqu'à l'expiration de leurs certificats, de sorte que les équipes doivent continuer à les maintenir correctement pour assurer une conformité continue. Tous les modules existants seront officiellement archivés le 21 septembre 2026. Les organisations devraient prévoir de passer à la norme FIPS 140-3 avant cette date afin de rester en phase avec les normes de validation actuelles.
Remarque : La norme FIPS n'est pas seulement une case à cocher de conformité. Il s'agit d'une protection pratique qui garantit que vos outils de cryptage et vos paramètres de sécurité critiques (CSP) se comportent de manière prévisible - une nécessité pour sécuriser les données sensibles, mais non classifiées (comme les CUI ou les ePHI).
Décomposition : Niveaux de sécurité FIPS 140-2
Cette norme comprend quatre niveaux de sécurité. Chaque niveau ajoute des exigences de protection plus strictes quant à la manière dont les modules cryptographiques doivent être construits, accessibles et surveillés. Voici une analyse simple de la signification de chaque niveau dans des environnements réels.
Niveau 1
Sécurité de base. Les fonctions cryptographiques doivent fonctionner correctement, mais il n'y a pas d'exigences en matière de sécurité physique. Courant dans les systèmes d'exploitation généraux et les bibliothèques cryptographiques basées sur des logiciels. Ce niveau représente souvent un défi pour la gestion des correctifs.
Niveau 2
Le niveau 2, quant à lui, ajoute des caractéristiques d'inviolabilité (par exemple, des revêtements ou des sceaux inviolables) et applique un contrôle d'accès basé sur les rôles (RBAC). Utilisé dans les systèmes du gouvernement fédéral et les serveurs d'entreprise qui ont besoin d'une preuve visible de la falsification.
Niveau 3
Introduction de mécanismes robustes d'inviolabilité et d'une protection renforcée des clés cryptographiques privées. Les clés privées doivent être remises à zéro/effacées automatiquement si le dispositif est ouvert. Fréquemment utilisé dans le matériel bancaire, les modules de sécurité matériels (HSM) et les systèmes d'authentification de haute sécurité.
Niveau 4
Le niveau le plus élevé. Nécessite une détection active des attaques environnementales (tension, température, sondage physique). Conçu pour les appareils militaires, de défense et de sécurité nationale qui fonctionnent dans des environnements hostiles.
Conseil de pro : La plupart des organisations n'ont besoin que du niveau 1 ou 2 pour répondre aux exigences de conformité réglementaire habituelles. Les niveaux supérieurs sont généralement réservés aux systèmes ou environnements critiques confrontés à des risques physiques ou d'altération élevés.
Maintien de la conformité des systèmes existants
De nombreuses organisations continuent d'utiliser des modules existants certifiés FIPS 140-2. Pour rester conformes, les équipes doivent maintenir ces composants validés sans altérer la cryptographie ou introduire des changements qui invalident la version conforme à la norme FIPS. Ce processus est notoirement difficile et coûteux, ce qui explique en grande partie le passage à la norme 140-3.
Maintenir inchangés les modules cryptographiques validés
Évitez les mises à jour ou les correctifs qui modifient les algorithmes cryptographiques, le traitement des clés ou les limites des modules. Toute modification non approuvée peut rompre la validation FIPS d'origine, ce qui oblige à une nouvelle certification coûteuse.
Utiliser des mises à jour de sécurité conformes aux normes FIPS
Les systèmes plus anciens nécessitent toujours des correctifs, mais les mises à jour doivent préserver le cryptage validé. Les fournisseurs qui proposent une automatisation de la conformité et des correctifs conformes à la norme FIPS qui ne déclenchent pas un nouveau processus de revalidation pouvant durer plusieurs mois contribuent à maintenir la continuité.
Contrôler l'état des certificats et les délais d'expiration
Suivez les dates d'expiration des validations (qui peuvent être trouvées sur la liste historique du NIST) et assurez-vous que votre organisation sait quand commencer à planifier une transition vers la version 140-3. Tous les certificats FIPS 140-2 actifs seront transférés sur la liste historique d'ici septembre 2026.
Documenter la configuration et les contrôles opérationnels
Les auditeurs exigent souvent la preuve que le mode de conformité FIPS est activé, que les paramètres cryptographiques sont inchangés et que les modules approuvés sont utilisés de manière cohérente dans l'environnement. Cette documentation doit être mise à jour en permanence.
Remarque : Même si un système utilise une cryptographie validée, il n'est pas considéré comme conforme lors d'un audit s'il ne bénéficie plus du soutien du fournisseur ou s'il ne reçoit plus de mises à jour de sécurité.
Pourquoi cette norme est toujours d'actualité (même à l'ère du 140-3)
La conformité à la norme FIPS 140-2 est peut-être en train de disparaître pour les nouvelles validations, mais elle est à la base d'une grande partie de l'infrastructure existante. Les entreprises ne peuvent pas simplement remplacer du jour au lendemain la cryptographie validée, car elles s'exposent ainsi à de graves violations de la conformité, à des audits coûteux et à des temps d'arrêt opérationnels.
Les systèmes certifiés de longue durée en dépendent toujours
De nombreux modules validés restent actifs pendant des années et les industries réglementées doivent continuer à les utiliser dans les déploiements existants jusqu'à la date limite du 21 septembre 2026 ou jusqu'à l'expiration de leurs certificats spécifiques.
Le remplacement de la cryptographie validée est risqué et coûteux
Toute modification non approuvée d'un module certifié invalide instantanément la conformité, obligeant les organisations à des cycles de revalidation longs et coûteux ou à des migrations complexes et précipitées vers la norme FIPS 140-3.
Pour que les transitions se fassent en douceur, il faut d'abord maintenir la conformité
La plupart des équipes doivent stabiliser et sécuriser leurs systèmes 140-2 existants avant d'entreprendre une mise à niveau. Il est donc absolument essentiel de disposer d'un soutien fiable en matière de continuité pendant cette période de chevauchement nécessaire.
FIPS 140-2 vs FIPS 140-3 : Principales différences
La norme FIPS 140-3 est le successeur moderne de la version 140-2. Si les deux normes valident des modules cryptographiques, la 140-3 s'aligne sur les exigences de sécurité internationales mises à jour(ISO/IEC 19790:2012) et apporte des tests plus stricts, des protections physiques plus solides et des critères d'évaluation plus cohérents. Il est important de noter que les certifications 140-2 existantes restent valables jusqu'à leur expiration, mais que toutes les nouvelles validations doivent être conformes à la norme 140-3.
|
Aspect |
FIPS 140-2 |
FIPS 140-3 |
|
Fondation |
Principalement une norme américaine/canadienne avec des exigences personnalisées. |
S'aligne sur la norme ISO/IEC 19790:2012 pour une cohérence internationale. |
|
Statut de validation |
Aucune nouvelle soumission n'a été acceptée depuis le 1er avril 2022. |
Requis pour toutes les nouvelles validations de modules cryptographiques. |
|
Essais/contrôles |
Requis principalement lors de la mise sous tension (POST). |
Nécessite des auto-tests conditionnels (CAST) et des vérifications en cours d'exécution pour une validité opérationnelle continue. |
|
Renforcement de la sécurité physique |
Niveau 1 - Niveau 4 |
Mêmes niveaux de sécurité, mais précision accrue des exigences |
|
Champ d'application opérationnel |
Principalement conçu pour les modules matériels de cryptographie physique. |
Prise en charge mieux définie des modules logiciels, hybrides et virtualisés (cruciale pour l'informatique en nuage/Linux). |
|
Documentation |
Exigences simplifiées. |
Exigences plus strictes en matière de documentation et de preuves pour l'ensemble du cycle de vie du module. |
Comment passer en douceur de la norme FIPS 140-2 à la norme 140-3 ?
La norme FIPS 140-2 reste pertinente pour les infrastructures existantes, mais la version 140-3 est l'avenir de la conformité cryptographique. Le passage de la norme FIPS 140-2 à la norme 140-3 n'est pas seulement une mise à jour technique, c'est une transition de conformité qui doit préserver la cryptographie validée, éviter les interruptions de service et assurer la continuité dans les environnements réglementés. Une approche structurée et progressive minimise les risques de conformité et réduit considérablement les coûts à long terme.
Stabilisez d'abord vos modules FIPS 140-2 existants
Avant de planifier toute migration, assurez-vous que vos modules validés actuels restent intacts, qu'ils sont protégés par des correctifs et qu'ils sont conformes. Des modifications non approuvées peuvent instantanément rompre la validation 140-2 et introduire des obstacles complexes et coûteux à la transition FIPS 140-3.
Utiliser des fournisseurs qui proposent des mises à jour conformes aux normes FIPS
Choisissez des solutions qui fournissent des correctifs de sécurité sans modifier les algorithmes cryptographiques ou les métadonnées, ce qui invaliderait généralement la certification. Cette caractéristique est essentielle pour assurer la sécurité des composants Linux à code source ouvert tout en préparant la certification 140-3.
Planifier le remplacement module par module
Au lieu de tenter une mise à niveau risquée de l'ensemble de l'environnement, remplacez progressivement les composants validés, en commençant par les modules les plus proches de l'échéance de septembre 2026 ou ceux qui sont exposés au risque opérationnel le plus élevé.
Documenter chaque étape pour être prêt à l'audit
La norme FIPS 140-3 exige des preuves plus strictes de la gestion du cycle de vie et des contrôles opérationnels. La tenue d'une documentation propre et continue dès à présent facilitera considérablement la validation, la recertification et les audits futurs.
Conseil de pro : Pour minimiser les risques et la pression d'audit, donnez la priorité à la migration vers la norme FIPS 140-3 de vos modules à haut risque et orientés vers l'extérieur (comme les terminaux TLS/VPN) et de vos nouveaux systèmes avant de vous occuper des charges de travail internes, stables et anciennes.
Assurer la conformité FIPS 140-3 avec le support de TuxCare
Le maintien de la conformité FIPS 140-2 et des normes obligatoires 140-3 peut s'avérer complexe et coûteux, en particulier dans les environnements Linux à source ouverte comme AlmaLinux et Rocky Linux. TuxCare Enterprise Support (TES) simplifie ce processus en fournissant des correctifs de sécurité conformes à la norme FIPS pour les déploiements d'AlmaLinux et de Rocky Linux validés par la norme FIPS, ce qui garantit que vos modules cryptographiques restent validés et opérationnels sans interruption de service ni écart de conformité.
TuxCare offre une voie transparente vers la conformité :
- Suite complète de modules validés FIPS : Prise en charge des cinq composants critiques : noyau, OpenSSL, libcrypt, NSS et GnuTLS.
- Patching de continuité FIPS 140-3 : Les mises à jour de sécurité sont conçues pour ne pas altérer la cryptographie validée, ce qui garantit une conformité continue.
- Recertification CVE rapide : Recertification des correctifs de sécurité critiques plus rapide que le processus général de certification FIPS 140-3.
- Mises à jour de sécurité étendues : TuxCare fournit des correctifs de sécurité étendus pour les versions mineures d'AlmaLinux et de Rocky Linux. Ce service est actuellement disponible pour AlmaLinux 9.2, AlmaLinux 9.6, Rocky Linux 9.6, et est prévu pour la 9.10.
FAQ
Que se passe-t-il si le certificat FIPS 140-2 de mon fournisseur expire ?
Lorsqu'un certificat expire, le module est transféré dans la liste historique du NIST et n'est plus officiellement validé pour les nouveaux achats. Les organisations doivent soit continuer à utiliser le module dans le cadre de contrôles opérationnels internes stricts, soit migrer vers une conformité FIPS 140-3.
Les modules FIPS 140-2 peuvent-ils encore être achetés après la mise en œuvre de FIPS 140-3 ?
Oui, les modules figurant sur la liste historique peuvent encore être utilisés et achetés pour des systèmes existants, mais ils ne peuvent pas recevoir de nouvelles certifications. Toutefois, les règles fédérales en matière de passation de marchés imposent généralement la norme 140-3 pour tous les nouveaux déploiements de modules cryptographiques, ce qui rend la transition inévitable.
Comment les entreprises en phase de démarrage peuvent-elles aborder la certification FIPS sans budget important ?
L'approche la plus pratique consiste à utiliser des composants pré-validés et certifiés FIPS 140-3 (comme les systèmes d'exploitation et les bibliothèques cryptographiques) plutôt que de procéder à une certification directe coûteuse. TuxCare Enterprise Support fournit une suite complète de cinq modules validés FIPS (kernel, OpenSSL, libcrypt, NSS et GnuTLS), ce qui réduit considérablement les coûts de mise en conformité et accélère le déploiement.
