FIPS 140-2/140-3

Définition

FIPS 140-2 et son successeur FIPS 140-3 (Federal Information Processing Standard) sont des normes américaines publiées par le NIST définissant les exigences de sécurité applicables aux modules cryptographiques matériels et logiciels utilisés par les agences fédérales américaines et, par extension contractuelle, par de nombreux secteurs régulés dans le monde (santé, finance, défense). FIPS 140-3, entrée en vigueur en 2019 et alignée sur la norme internationale ISO/IEC 19790, remplace progressivement FIPS 140-2 dont les validations ont cessé en septembre 2021, avec une période de transition pour les modules déjà certifiés. Les deux standards définissent quatre niveaux de sécurité croissants : le niveau 1 exige uniquement des algorithmes approuvés sans protection physique particulière, le niveau 2 ajoute une détection d'intrusion physique basique, le niveau 3 impose une résistance physique et une protection active contre l'extraction de clés, et le niveau 4 exige une protection contre les attaques environnementales sophistiquées (variation de tension, de température). La validation est délivrée dans le cadre du programme CMVP (Cryptographic Module Validation Program), opéré conjointement par le NIST et le CCCS canadien. La conformité FIPS 140 conditionne l'achat de modules HSM, de solutions VPN et de bibliothèques cryptographiques par le gouvernement américain et ses partenaires.