Initialement conçues comme une norme de chiffrement et de sécurité de l’information pour les systèmes du gouvernement américain, les normes fédérales de traitement de l’information (FIPS) sont devenues une référence incontournable en matière de sécurité du chiffrement et de traitement des données dans de nombreux autres secteurs. Traditionnellement, il s’est avéré difficile de maintenir la conformité FIPS sur plusieurs composants.
Notre nouvelle solution packagée relève ce défi et facilite le déploiement et la maintenance d’une instance F5 NGINX Plus conforme à la norme FIPS dans AWS. Elle offre une nouvelle approche plus efficace pour garantir la distribution sécurisée des applications, des API et des composants d’intelligence artificielle exécutés dans le cloud, tout en répondant aux exigences strictes de sécurité et de conformité propres aux cas d’usage réglementés et sensibles.
Qu’est-ce que la norme FIPS et pourquoi est-elle importante ?
Les FIPS sont des normes et des directives publiées par le National Institute of Standards and Technology (NIST) des États-Unis pour les systèmes informatiques fédéraux. L’objectif principal des FIPS, notamment de la norme FIPS 140-2 et de la plus récente FIPS 140-3, est de garantir que les modules cryptographiques — les composants chargés du chiffrement et du déchiffrement — répondent à des exigences de sécurité strictes. Ces normes sont essentielles pour protéger les informations sensibles mais non classifiées, qu’il s’agisse des données des citoyens ou des communications internes de l’administration.
En outre, les agences du gouvernement fédéral américain, ainsi que les prestataires qui travaillent avec elles, doivent utiliser des modules cryptographiques validés FIPS pour les applications et les infrastructures sur lesquelles s’exécutent les systèmes gouvernementaux. Le non-respect de cette obligation peut entraîner des risques importants, notamment la perte de contrats, et le gouvernement américain a renforcé ces dernières années le contrôle de la conformité aux normes FIPS.
Les normes FIPS favorisent également l’interopérabilité entre différents systèmes en garantissant leur conformité à des protocoles de sécurité communs. L’interopérabilité FIPS facilite la création de solutions intégrées, comme celle décrite dans cet article de blog. Notre nouvelle solution Red Hat Enterprise Linux et NGINX tire parti des travaux de chiffrement réalisés par l’équipe de Red Hat sur les modules OpenSSL et les applique aux images F5 NGINX Plus.
En substance, la conformité FIPS signifie que les fonctions cryptographiques d’un produit répondent aux exigences élevées du gouvernement américain en matière de sécurité, garantissant ainsi une protection adéquate des données. Les applications exécutées sur des plateformes conformes à la norme FIPS constituent des cibles renforcées qui découragent les attaquants tout en protégeant les utilisateurs et les systèmes.
Simplifier la conformité FIPS
Notre nouvelle offre disponible sur la marketplace est une solution complète qui inclut NGINX Plus sur Red Hat Enterprise Linux. Elle simplifie considérablement la mise en conformité FIPS des applications, des API et des solutions d’IA exécutées dans le cloud grâce aux fonctionnalités suivantes :
- Exploitation d’une cryptographie validée FIPS. Red Hat Enterprise Linux a déjà obtenu la certification FIPS 140-2/3 pour ses modules cryptographiques, et notre nouveau package l’associe à F5 NGINX Plus. Sa bibliothèque OpenSSL en est un composant clé : elle fournit des fonctions cryptographiques fondamentales telles que le chiffrement, le déchiffrement et le hachage.
- Utilisation directe d’OpenSSL validé FIPS. Dans ce package intégré, NGINX Plus est spécifiquement configuré pour utiliser les bibliothèques cryptographiques OpenSSL validées FIPS fournies par le système d’exploitation Red Hat Enterprise Linux. Ainsi, lorsque NGINX Plus effectue des opérations cryptographiques (comme le traitement du trafic HTTPS), il s’appuie directement sur ces modules fournis par Red Hat Enterprise Linux, qui ont déjà fait l’objet d’une validation FIPS rigoureuse. Cela garantit que les fonctions cryptographiques prises en charge par NGINX Plus sont exécutées conformément aux exigences FIPS.
- Conformité prête à l’emploi. Les clients bénéficient d’un package préconfiguré dans lequel FIPS est déjà activé au sein de l’environnement Red Hat Enterprise Linux. Cela leur évite le processus complexe et chronophage consistant à rechercher, compiler, configurer et valider eux-mêmes des modules cryptographiques conformes à la norme FIPS.
- Déploiement et gestion simplifiés sur AWS. En proposant ce package intégré sous la forme d’une expérience « clé en main » disponible sur AWS Marketplace, nous simplifions le déploiement et la gestion continue de NGINX Plus dans les environnements soumis aux exigences FIPS. Cette solution « prête à l’emploi » pour les environnements FIPS peut être opérationnelle en quelques minutes, plutôt qu’en plusieurs jours ou semaines.
- Conformité et assistance continues. Une offre conjointe unique couvre le système d’exploitation, les modules cryptographiques et NGINX Plus. Red Hat et F5 fournissent des correctifs coordonnés qui maintiennent l’ensemble de la pile dans son périmètre validé, ce qui simplifie les renouvellements et réduit les risques opérationnels.
Exploitez des fonctionnalités avancées avec NGINX Plus
NGINX Plus est la version professionnelle de la solution de gestion du trafic NGINX largement adoptée, conçue pour offrir des fonctionnalités avancées aux applications modernes. Elle associe des performances et une évolutivité éprouvées à des fonctionnalités destinées aux entreprises. Grâce à NGINX Plus, les organisations peuvent garantir une haute disponibilité, une sécurité robuste et une observabilité approfondie dans l’ensemble de leurs environnements applicatifs. Examinons de plus près certaines des puissantes fonctionnalités désormais disponibles dans le cadre de la nouvelle solution packagée sur AWS Marketplace.
NGINX Plus offre une sécurité robuste grâce à des fonctionnalités avancées telles que l’authentification JWT, l’intégration d’OpenID Connect pour l’authentification unique et la prise en charge de F5 NGINX App Protect (protection WAF et contre les attaques DoS). L’assistant IA de F5 NGINX One renforce l’expertise des développeurs et des équipes DevOps en leur proposant des suggestions de configuration et de sécurité adaptées au contexte.
Les utilisateurs bénéficient d’une observabilité complète grâce à une visibilité en temps réel sur les applications, les API et l’IA, ainsi qu’à plus de 240 métriques d’état étendues accessibles via une API JSON. Ils disposent également de fonctionnalités simples d’intégration et d’exportation vers des outils tiers de création de tableaux de bord et de surveillance, ou vers la console de gestion SaaS NGINX One.
F5. NGINX Plus offre performances, haute disponibilité et résilience grâce à un large éventail d’algorithmes d’équilibrage de charge, à un environnement d’exécution léger, à un plan de données efficace et à des contrôles d’intégrité actifs qui garantissent la fiabilité. Les fonctionnalités de haute disponibilité comprennent la mise en cluster actif-actif et le partage d’état.
La solution améliore également l’efficacité opérationnelle en simplifiant la gestion et en réduisant la charge administrative grâce à l’API NGINX Plus, qui permet de configurer dynamiquement les serveurs en amont et les magasins clé-valeur sans interruption de service. Elle s’intègre automatiquement à la console de gestion SaaS NGINX One afin d’offrir un plan unifié d’observabilité, de sécurité et de gestion pour toutes les instances NGINX.
Avantages de la nouvelle solution FIPS de F5 et Red Hat par secteur d’activité
| Secteur | Exigence de conformité |
Pourquoi le chiffrement validé FIPS est important |
Avantages de la nouvelle image |
|---|---|---|---|
| Administration publique et défense | FedRAMP exige des modules validés FIPS 140 pour tous les niveaux de référence modérés et élevés. | L’utilisation d’un frontal TLS déjà validé réduit considérablement les délais d’obtention de l’autorisation d’exploitation (ATO), évite les dérogations en matière de chiffrement et permet aux organismes de rester en conformité lorsque les modules passent au statut « historique ». | Déployez l’image machine Amazon (AMI) dans GovCloud ou une région classifiée ; les correctifs coordonnés de Red Hat et de F5 maintiennent l’ensemble de la pile dans son périmètre validé pendant toute la durée de vie du système. |
| Santé et sciences de la vie | Les recommandations du HHS relatives à la notification des violations considèrent le chiffrement testé par le NIST (FIPS) comme une « sphère de sécurité » pour les informations de santé protégées (PHI). | Le chiffrement des informations de santé protégées électroniques (ePHI) à l’aide de modules validés FIPS réduit l’exposition aux obligations de notification des violations ainsi que le périmètre des audits. | Une seule image couvre les couches Web, API et d’inférence d’IA ; les preuves de conformité sont rattachées à un certificat de validation unique. |
| Sécurité publique et justice | La politique de sécurité du FBI exige un chiffrement validé FIPS pour les services d’information de la justice pénale (CJIS). | Les fournisseurs de caméras-piétons, de services 911 et de contraventions électroniques bénéficient d’emblée de la conformité CJIS, sans avoir à recompiler OpenSSL à chaque version. | La pile préconfigurée regroupe le chiffrement au niveau du micrologiciel, les configurations de référence et le chiffrement du trafic dans un parcours d’assistance unique. |
| Protection des infrastructures critiques de la North American Electric Reliability Corporation (NERC CIP) | Les recommandations de mise en œuvre de la norme NERC CIP citent FIPS 140-2 comme contrôle accepté pour l’intégrité des logiciels et le chiffrement. | Les fournisseurs d’énergie peuvent documenter les contrôles CIP-010 sans ajouter de modules HSM à chaque passerelle de sous-station. | La pile préconfigurée regroupe le chiffrement au niveau du micrologiciel, les configurations de référence et le chiffrement du trafic dans un parcours d’assistance unique. |
| Fournisseurs de services cloud et SaaS | AWS propose des points de terminaison TLS exclusivement conformes à FIPS afin que les locataires puissent respecter FedRAMP et des exigences similaires. | Les entreprises et les clients du secteur public exigent de plus en plus une option de service en « mode FIPS ». | Déployez l’AMI dans n’importe quelle région, bénéficiez de la validation de Red Hat Enterprise Linux et répondez aux questionnaires de vos clients avec un certificat unique. |
Prêt à moderniser et à simplifier votre conformité FIPS ?
Que vous travailliez dans le secteur public, la finance, la santé ou tout autre secteur, la solution F5 intégrée à Red Hat Enterprise Linux vous aide à pérenniser vos infrastructures critiques grâce à la seule pile de mise à disposition d’applications validée FIPS, offrant des performances élevées, une observabilité approfondie, un déploiement facile et une mise à l’échelle simplifiée, le tout dans une image facile à installer.
Déployez l’AMI NGINX Plus prête pour FIPS depuis AWS Marketplace et passez en production avant votre prochaine échéance de conformité.
À propos de l’auteur
Articles de blog associés
Tendances actuelles des technologies cloud natives, de l’ingénierie de plateforme et de l’IA
Découvrez les principaux enseignements tirés des réponses à l’enquête annuelle F5 NGINX sur les dernières tendances en matière de technologies cloud natives, de sécurité, d’ingénierie de plateforme et d’IA.
Quels contrôleurs Ingress NGINX sont affectés par les vulnérabilités CVE-2022-4886, CVE-2023-5043 et CVE-2023-5044 ?
Lorsque de nouvelles CVE sont signalées, il est facile de ne plus savoir si elles concernent un outil de contrôleur Ingress NGINX particulier, car il existe plusieurs projets. Cet article présente les CVE et explique comment distinguer les différents projets de contrôleurs Ingress afin de dissiper toute confusion.
Votre API est-elle en temps réel ? Testez sa latence avec l’outil rtapi de NGINX
Votre API répond-elle aux requêtes en moins de 30 ms ? Si ce n’est pas le cas, il ne s’agit pas d’une API en temps réel offrant la faible latence exigée par la grande majorité des organisations. Mesurez la latence de votre API avec l’outil rtapi de NGINX et découvrez comment NGINX peut l’aider à offrir une réactivité en temps réel.
Un testeur d’expressions régulières pour NGINX et NGINX Plus
Le testeur d’expressions régulières (regex) pour NGINX et NGINX Plus vous évite de tâtonner en vous indiquant si une expression régulière utilisée dans un bloc location ou map correspond aux valeurs comme prévu. Il génère la configuration appropriée et affiche les valeurs des groupes de capture.
Caches partagés avec les clusters de cache NGINX Plus, partie 1
Optimisez la capacité de votre cache web en le répartissant entre plusieurs serveurs de cache web NGINX ou NGINX Plus. Découvrez comment procéder dans cet article.
Introduction aux microservices
Les microservices suscitent actuellement beaucoup d’intérêt. Cet article de blog est le premier d’une série de sept consacrée à la conception, au développement et au déploiement de microservices.