Guide de la norme FIPS 140-3

After 22 years, the National Institute of Standards and Technology (NIST) has released an update to the Federal Information Processing Standard (FIPS). The update brings the standard series up to speed with the evolution of cryptographic modules that has occurred since the last update in 2001.

FIPS 140-3 matters to any entities handling information that is sensitive to the United States or Canadian governments and their departments.

Qu'est-ce que la norme FIPS 140-3 ?

La série de normes FIPS est un produit du programme de validation des modules cryptographiques (CMVP), un effort coordonné entre le NIST et le Centre canadien pour la cybersécurité. 

La série de normes FIPS est mandatée par les gouvernements américain et canadien pour garantir la protection des informations sensibles mais non classifiées (SBU) par leurs partenaires, fournisseurs et technologies. La série FIPS 140 impose un schéma de validation universel pour tous les modules cryptographiques impliqués dans les programmes technologiques utilisés par le gouvernement et les industries hautement réglementées. 

Techniquement, la conformité à la norme FIPS est obligatoire pour les agences gouvernementales, leurs sous-traitants et partenaires tiers, ainsi que pour les organisations de cybersécurité qui vendent aux industries de haute gouvernance. Toutefois, la norme a été largement adoptée dans le monde entier en tant que cadre de sécurité raisonnable et meilleure pratique.

Le prédécesseur de la nouvelle norme, FIPS 140-2, est en voie de disparition. Le CMVP a cessé d'accepter les soumissions FIPS 140-2 pour les nouveaux certificats de validation en 2022 et déplacera les modules FIPS 140-2 actifs vers la liste historique en 2026.

La norme FIPS 140-3 devenant la norme, les organisations doivent s'y conformer pour continuer à offrir leurs services et éviter les lourdes pénalités imposées par le NIST. 

FIPS 140-2 vs FIPS 140-3 : Quelle est la différence ?

Les normes FIPS 140-2 et 140-3 diffèrent sur quelques points importants. Principalement, la FIPS 140-3 spécifie les exigences de sécurité à chaque étape de la création d'un module cryptographique - phases de conception, d'implémentation et de déploiement - et pas seulement après l'achèvement. 

Il y a quelques autres mises à jour à prendre en compte :

• Alors que la norme FIPS 140-2 partait du principe que tous les modules étaient des modules hardware , la norme FIPS 140-3 portera sur les modules hardware, firmware, software, hybrides software et hybrides firmware.
• La norme FIPS140-2 IG 1.9 limitait les modules hybrides à une validation FIPS 140-2 de niveau 1, mais dans la norme FIPS 140-3, il n'y a aucune restriction quant au niveau auquel un module hybride peut être validé. 
• La norme FIPS 140-2 exigeait que les modules prennent en charge un rôle d'agent de chiffrement et un rôle d'utilisateur, ainsi qu'un rôle de maintenance facultatif. Dans la norme FIPS 140-3, le rôle d'agent de chiffrement est le seul rôle requis.
• Pour les niveaux 1 à 3, les normes FIPS 140-2 et 140-3 sont relativement similaires. Toutefois, la FIPS 140-3 exige une authentification multifactorielle au niveau 4. 

Niveaux de la norme FIPS 140-3

Pour s'assurer que la technologie répond aux normes de sécurité nécessaires, la certification FIPS 140-3 évalue quatre niveaux de sécurité. Chaque niveau établit ses propres critères pour les algorithmes cryptographiques.

Level 1
This is the lowest level of security and requires the most basic encryption and key management capabilities. It is the level that software-only modules are certified at. 

Level 2
Level 2 starts to address physical security measures meant to guard against unauthorized access to the module (role based access) and detect physical tampering. 

Level 3
This level requires a more intense grade of physical security, at this level the hardware is expected to prevent tampering and access must be identity based.

Level 4
The highest level of physical and logistical security controls, Level 4 is designed to prevent the most sophisticated attacks and for the module to actively destroy any private keys and other security parameters if it detects some attacks.

Futures mises à jour de la série FIPS 140

La norme FIPS 140-3 concerne les modules hardware, firmware, software, hybrides software, et hybrides firmware. L'amélioration de la norme FIPS 140-2 offre une voie claire pour la mise en œuvre et la certification de modules hybrides qui peuvent utiliser des technologies telles que Java Native Interface (JNI) pour prendre en charge l'accélération hardware tout en permettant au module d'être fonctionnel en utilisant purement Java si l'accélération hardware n'est pas disponible.

La cryptographie post-quantique (PQC) est devenue un sujet à la mode, la première série de normes PQC devant être publiée au début de l'année 2024. Bien que la norme FIPS 140-3 elle-même ne concerne pas la PQC, toute personne souhaitant certifier l'un des algorithmes PQC, y compris la norme SP 800-208, devra se conformer à la norme FIPS 140-3. Hormis l'arrêt officiel des tests des nouveaux modules 140-2, les seuls conseils de mise en œuvre relatifs à la CQP concernent la norme 140-3. Si un module souhaite prendre en charge l'une des normes PQC en mode approuvé par la FIPS, il doit être certifié FIPS 140-3. Il est très important que les fournisseurs de modules de cryptographie qui souhaitent obtenir la certification avec les nouveaux algorithmes PQC et être prêts pour le quantique élaborent dès maintenant une stratégie de migration vers la norme FIPS 140-3.

En savoir plus

Need help implementing cryptography? Experts are at the ready with Crypto Workshop by Keyfactor. Bouncy Castle APIs are open-source and owned by Australian-based software charity, Legion of the Bouncy Castle. Crypto Workshop is the commercial wing of the Bouncy Castle project — committed to ongoing development, FIPS certification, and support services.

Connect with us to learn more about:

Cryptography expertise
Get implementation guidance and technical support right from the developers of Bouncy Castle, backed by SLAs.

FIPS certification
Access the full test suite and FIPS-certify under the supported customer’s product and company name.

Post-quantum readiness
Begin working with post-quantum algorithms in your test environment with support from our experts.