Si vous travaillez pour l’un des nombreux gouvernements à travers le monde, dans le secteur de la santé, des services financiers, des services juridiques ou dans toute autre entreprise chargée de la collecte et de la transmission de données sensibles mais non classifiées (SBU), vous connaissez probablement déjà les normes fédérales de traitement de l’information (FIPS).
Sinon, voici un bref aperçu :
FIPS est une norme du gouvernement américain couvrant diverses formes de sécurité. Elle est administrée par des organismes relevant des gouvernements américain et canadien, notamment le National Institute of Standards and Technology (NIST) aux États-Unis et le Centre de la sécurité des télécommunications (CST) au Canada.
Il existe de nombreuses exigences FIPS portant sur différents aspects de la sécurité. Par exemple, la norme FIPS 197 correspond à l’Advanced Encryption Standard (AES), tandis que la norme FIPS 201 concerne la vérification de l’identité personnelle (PIV) des employés et prestataires fédéraux. Cette dernière sert de fondement aux cartes PIV utilisées à des fins d’identification dans de nombreux organismes gouvernementaux.
L’une des exigences FIPS qui nous concerne le plus dans le domaine de la sécurité des réseaux et du cloud est la norme FIPS 140-2, qui porte sur l’homologation de la sécurité des modules cryptographiques, c’est-à-dire la validation et la certification de la sécurité de l’ensemble constitué du matériel, des logiciels et des micrologiciels exécutant des fonctions cryptographiques. De nombreux organismes fédéraux américains et organismes gouvernementaux canadiens, ainsi que des entreprises soucieuses de la sécurité, exigent que leurs équipements réseau et de sécurité respectent la norme FIPS 140-2 et soient conformes à celle-ci.
Dans le cadre de la norme FIPS 140-2, il existe quatre niveaux de sécurité supplémentaires, allant du niveau 1, qui exige des algorithmes de chiffrement approuvés, des périmètres de sécurité définis au sein du système et la validation de l’initialisation des composants cryptographiques, au niveau 4 qui, en plus d’intégrer les exigences des trois autres niveaux, ajoute des protections contre les variations atmosphériques et d’autres protections physiques à un boîtier renforcé et sécurisé, dans lequel les clés sont effacées si une attaque physique est détectée.
Les normes les plus couramment appliquées sont la norme FIPS 140-2 de niveau 2, qui exige des dispositifs d’inviolabilité permettant de signaler tout accès physique aux clés cryptographiques ou à un paramètre de sécurité, et la norme FIPS 140-2 de niveau 3, qui ajoute une résistance aux effractions, un moyen de détection supplémentaire par rapport aux dispositifs d’inviolabilité du niveau 2, ainsi qu’une réponse aux tentatives d’accès physique, d’utilisation ou d’altération du module cryptographique. En résumé, ces niveaux de sécurité FIPS permettent aux équipes réseau de savoir si un acteur malveillant a accédé (ou tenté d’accéder) à vos clés cryptographiques.
Pour les organismes publics et les entreprises soucieuses de la sécurité, notamment dans les secteurs des services financiers, du droit et de la santé, l’importance de la norme FIPS réside dans la protection des clés cryptographiques et des paramètres de sécurité, ainsi que dans sa défense intrinsèque contre les menaces. La conformité à la norme FIPS permet aux organismes fédéraux et aux entreprises sécurisées de respecter les réglementations gouvernementales et sectorielles, telles que la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS), loi sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA), la réglementation américaine sur le trafic international d’armes (ITAR), entre autres. Elle offre une sécurité multicouche, à la fois physique et logique, et protège les données contre le vol et les attaques aux couches 3 et 4 (notamment les attaques réseau et DNS), ainsi qu’à la couche 7 (attaques SSL et HTTP).
Découvrez la plateforme F5 BIG-IP 10350v-F, une implémentation certifiée FIPS 140-2 niveau 3 du module matériel de sécurité (HSM) de dernière génération, et la première plateforme F5 certifiée FIPS 140-2 niveau 3. La plateforme BIG-IP 10350v-F protège le stockage des clés grâce à un HSM inviolable et à d’autres dispositifs de sécurité physique. Grâce à son HSM, BIG-IP 10350v-F permet aux organismes publics, aux établissements de services financiers et aux autres entreprises soucieuses de leur sécurité de bénéficier d’une évolutivité sécurisée, tout en répondant aux exigences actuelles toujours croissantes en matière de performances SSL. Elle offre des performances de chiffrement SSL en masse de premier plan ainsi qu’un rapport qualité-prix supérieur. La plateforme 10350v-F simplifie la gestion des certificats et réduit les coûts de mise en conformité.
Mais pourquoi un HSM est-il si important, vous demandez-vous peut-être ? Ne peut-on pas simplement utiliser des bibliothèques logicielles de chiffrement ? Pour chaque déploiement, il convient d’évaluer les données à protéger. Si les niveaux 1 et 2 de la norme FIPS 140-2 offrent un certain degré de confiance quant au niveau d’assurance et au contrôle de la mise en œuvre du chiffrement utilisé, de nombreux organismes publics et autres programmes sensibles exigent des niveaux de protection supérieurs. Dans ces contextes, la protection des informations personnelles identifiables (PII) et des informations de santé protégées (PHI) ne peut être assurée qu’au moyen d’un HSM de niveau 3 conforme à la norme FIPS 140-2. En outre, les HSM sécurisent les opérations cryptographiques et protègent les clés cryptographiques critiques, tout en séparant les domaines d’administration et de sécurité et en appliquant des politiques d’utilisation des clés.
La plateforme F5 BIG-IP 10350v-F offre une évolutivité inégalée, avec une sécurité et une protection des clés renforcées, pour un rapport coût-efficacité optimal. Parmi les cas d’usage pris en charge par cette plateforme figurent le déchargement, la visibilité et l’accélération SSL, ainsi que le proxy direct, soit via une fonctionnalité d’isolation physique, soit conjointement avec les services Secure Web Gateway (SWG).
Toute administration publique ou entreprise chargée de la collecte, du stockage et de la diffusion de données sensibles non classifiées devrait s’intéresser aux produits réseau et de sécurité conformes à la norme FIPS 140-2. De même, toute administration ou entreprise souhaitant garantir la sécurité de ses données sensibles doit veiller à ce que ses clés cryptographiques restent sécurisées ; ces organisations ont besoin d’une conformité FIPS 140-2 de niveau 3.
C’est pourquoi toutes ces administrations et entreprises ont besoin de la plateforme F5 BIG-IP 10350v-F, qui offre le coût par TPS FIPS le plus bas de tous les contrôleurs de mise à disposition d’applications (ADC) équipés d’un HSM.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.