Guide de l’acheteur
Meilleur RMM FIPS 140-3 et soutien à distance pour FSG
Le mode FIPS vous dit que les algorithmes sont approuvés. Il ne vous dit pas qui peut lire la séance. Ce guide explique ce qu’exige réellement FIPS 140-3, l’échéance que la plupart des acheteurs ignorent et la seule question qui distingue une vraie réponse d’une phrase marketing.
Commencer gratuitement, sans carte de crédit Voir nos modules et certificats
Ce qu’exige FIPS 140-3, en langage clair
FIPS 140-3 est la norme fédérale américaine actuelle pour les modules cryptographiques. Elle est validée conjointement par le National Institute of Standards and Technology (NIST) des États-Unis et le Centre canadien pour la cybersécurité dans le cadre du Cryptographic Module Validation Program, ou CMVP, et elle est harmonisée avec la norme internationale ISO/IEC 19790. Un module validé figure sur la liste du CMVP avec un numéro de certificat.
Une règle de conformité qui renvoie à FIPS ne demande pas si votre outil utilise un bon chiffrement. Elle demande si un module validé effectue le chiffrement. Le contrôle SC-13 du CJIS en est l’exemple le plus clair : les renseignements de justice pénale en transit doivent être protégés par un module validé FIPS, et un évaluateur vérifie le certificat.
La date que la plupart des acheteurs ignorent est le 21 septembre 2026. Ce jour-là, le NIST déplace toutes les validations FIPS 140-2 vers sa liste historique. Un certificat historique n’est pas annulé, mais la note du NIST sur ces entrées précise que le module ne devrait pas être retenu par les organismes fédéraux dans les nouveaux approvisionnements. Si vous choisissez un outil maintenant, choisissez-en un dont la validation est 140-3.
Trois énoncés qu’on confond
Presque toutes les affirmations confuses au sujet de FIPS viennent du fait qu’on fond trois énoncés différents en un seul mot. Séparez-les, et la conversation avec le fournisseur devient courte.
Un module validé a un numéro de certificat. Le NIST l’a testé et a publié le résultat, et vous pouvez le consulter.
Un produit qui utilise un module validé s’appuie sur le certificat de quelqu’un d’autre. C’est acceptable et courant, mais le certificat appartient au module, pas au produit, de sorte que le produit devrait nommer le module et le numéro.
Un produit en mode FIPS, ou qui énumère des algorithmes approuvés FIPS, vous a dit quelque chose sur ses choix d’algorithmes et rien sur un module validé. Des algorithmes approuvés sans module derrière eux ne satisfont pas une règle qui exige un module validé.
Voici donc la question à poser à tout fournisseur, en une ligne : quel module, quel numéro de certificat et quels composants couvre-t-il? Un fournisseur qui peut répondre en une phrase vous vend un module validé. Un fournisseur qui répond par des adjectifs vous vend un mode FIPS.
La réponse de Lavawall, composant par composant
Voici la même question appliquée à Lavawall, composant par composant, avec les numéros de certificat.
| Composant | Module | Certificat du CMVP | Norme |
|---|---|---|---|
| Relais, agent Windows, agent macOS, visualiseur natif | Go Cryptographic Module v1.0.0 | no 5247 | FIPS 140-3 |
| Clé d’accès et authentification matérielle des techniciens | YubiKey 5 FIPS Series, micrologiciel 5.7.x | no 5291 | FIPS 140-3 |
Deux limites que nous préférons énoncer plutôt que de vous les laisser découvrir. Le niveau console s’appuie sur le fournisseur OpenSSL FIPS du système d’exploitation hôte, qui est un module validé fourni par la plateforme plutôt que certifié par nous-mêmes. Et une séance affichée dans un navigateur Web utilise des algorithmes approuvés FIPS par l’entremise de la cryptographie propre au navigateur : elle est chiffrée de bout en bout, mais un navigateur n’est pas un module validé, de sorte que nous ne disons pas d’une séance affichée dans un navigateur qu’elle est protégée par un module. Une séance affichée dans l’application de visualisation Lavawall est protégée aux deux extrémités par le certificat no 5247. Le fait d’énoncer ces deux réserves de notre propre initiative est la raison pour laquelle vous pouvez faire confiance au reste.
Où se trouve le texte en clair
Un module validé sur la liaison répond à une question plus étroite que ne le pensent la plupart des acheteurs. De nombreux produits de soutien à distance qui annoncent FIPS placent un chiffrement approuvé sur une connexion qui se termine tout de même en texte en clair sur l’appareil ou dans le nuage du fournisseur. La cryptographie est bien réelle. Mais elle s’arrête à une boîte exploitée par le fournisseur, et à cet endroit la séance est en clair.
Lavawall est conçu à l’inverse. Le contenu de la séance est chiffré entre le poste de travail et le technicien, et le relais au milieu achemine du texte chiffré pour lequel il ne détient aucune clé. La question « qui, chez le fournisseur, peut lire cet écran? » a donc pour réponse « personne », par conception plutôt que par politique. Les images d’écran, les frappes au clavier, le presse-papiers, les transferts de fichiers, la sortie de l’interpréteur de commandes et le contenu des scripts circulent tous à l’intérieur de ce canal, et le relais refuse d’en transmettre quoi que ce soit en clair. Les clés de séance sont renouvelées pendant une séance, de sorte qu’une clé récupérée plus tard n’ouvre pas le trafic antérieur.
Confiance zéro, en quatre choses qui se produisent réellement
Le relais se trouve au milieu de chaque séance et on lui confie l’acheminement, non le contenu. Il authentifie et autorise; il ne déchiffre pas.
Le technicien est authentifié pour chaque séance, et on peut exiger qu’il le prouve avec une clé matérielle plutôt qu’avec un onglet de navigateur déjà connecté.
Le poste de travail prouve son identité avec une clé propre à l’appareil qui ne le quitte jamais, conservée dans le TPM sous Windows ou dans le Secure Enclave sur Mac.
Rien n’est accordé du seul fait d’avoir atteint le relais.
Ce qu’il faut vérifier, et la réponse de Lavawall
Posez ces cinq questions à n’importe quel fournisseur. La colonne de droite est la nôtre.
Comment se compare le reste du marché
D’après la documentation publiée par chaque fournisseur, en date de septembre 2026. Les validations FIPS changent et les éditions diffèrent : confirmez donc le certificat CMVP et la configuration en vigueur pour tout produit avant de vous y fier. « Non publié » signifie que nous n’avons trouvé aucune déclaration du fournisseur, non qu’une fonctionnalité est impossible.
| Plateforme | Module validé pour la cryptographie de la séance | Impose des clés de connexion validées FIPS 140-3 | Posture FIPS et RMM dans une seule plateforme |
|---|---|---|---|
| Lavawall® | Oui, FIPS 140-3, certificat no 5247, couvrant le relais, les agents et le visualiseur natif | Oui, vérifié par rapport à la liste du CMVP à chaque connexion | Oui, une seule plateforme : soutien à distance, application des correctifs et GRC |
| BeyondTrust (Bomgar) | Son propre certificat no 3881 est FIPS 140-2, maintenant historique; la déclaration 140-3 ne cite aucun certificat | Non publié | Déploiement distinct configuré FIPS; accent sur l’accès privilégié |
| ConnectWise ScreenConnect | Mode FIPS utilisant la cryptographie du système d’exploitation; aucun certificat de produit publié | Non publié | Outil à distance; le RMM et la GRC sont des produits distincts |
| Kaseya VSA | FIPS 140-2 validé par le passé; état 140-3 en cours, à vérifier | Non publié | RMM; la portée FIPS varie selon le composant |
| N-able (Take Control) | Composants validés FIPS 140-2 | Non publié | Outil à distance au sein de la gamme N-able |
| NinjaOne | Non publié pour son propre agent ou sa propre séance à distance; orientation FIPS générale seulement | Non publié | RMM; hébergé dans le nuage |
| Datto RMM | Non publié pour le parcours du RMM; les appareils BCDR de Datto offrent un mode FIPS | Non publié | RMM |
| Atera | Non publié; RMM hébergé dans le nuage | Non publié | RMM |
| Splashtop | Mode FIPS dans l’édition sur site ou gouvernementale | Non publié | Outil à distance |
Sources : documentation FIPS des fournisseurs et listes du CMVP du NIST, consultées en septembre 2026, notamment la déclaration de conformité FIPS 140-3 de BeyondTrust, le certificat no 3881 du CMVP du NIST, la lettre sur les composants FIPS 140-2 de N-able et la liste des modules validés du CMVP du NIST.
Où se situe Lavawall®
Lavawall s’adresse au FSG ou à l’équipe TI du secteur public, de taille réduite, qui a une obligation FIPS 140-3 et ne veut pas mettre sur pied un programme d’entreprise distinct pour y répondre. Le soutien à distance, l’application des correctifs et la GRC s’exécutent dans une seule console, de sorte que les preuves se retrouvent au même endroit, et les modules et numéros de certificat sont ceux du tableau ci-dessus. Les données et leur traitement par l’IA peuvent se trouver au Canada par défaut, ou sur un parcours réservé aux États-Unis lorsque la règle l’exige.
La YubiKey 5C NFC FIPS (140-3) coûte 88$ US sur Amazon, ou 88$ US directement chez Yubico. Prix vérifiés le 13 octobre 2026 (Amazon) et le 14 octobre 2026 (Yubico). Consultez le détaillant pour le prix actuel.
Questions fréquentes
- Qu’exige réellement FIPS 140-3?
- Elle exige que la cryptographie qui protège les données soit exécutée par un module cryptographique validé par le NIST et inscrit au Cryptographic Module Validation Program (CMVP) avec un numéro de certificat. Une règle comme le contrôle SC-13 du CJIS renvoie à cette liste. Utiliser des algorithmes robustes ou fonctionner en mode FIPS n’est pas équivalent : la question est de savoir si un module validé fait le travail, et quel certificat le couvre.
- Que change le 21 septembre 2026?
- Le NIST déplace toutes les validations FIPS 140-2 vers sa liste historique. Un certificat historique n’est pas retiré, mais la note du NIST précise qu’un tel module ne devrait pas être retenu par les organismes fédéraux dans les nouveaux approvisionnements. Les nouveaux travaux devraient exiger FIPS 140-3, et un outil dont le seul module validé relève de 140-2 mérite qu’on pose une question.
- Quel module, quel certificat et quels composants?
- C’est la question à poser à tout fournisseur. Voici la réponse de Lavawall : le relais, l’agent Windows, l’agent macOS et le visualiseur natif utilisent le Go Cryptographic Module v1.0.0, certificat no 5247, FIPS 140-3. L’authentification matérielle des techniciens utilise la YubiKey 5 FIPS Series, certificat no 5291, FIPS 140-3. Le niveau console s’appuie sur le fournisseur OpenSSL FIPS du système d’exploitation hôte.
- Une séance affichée dans un navigateur est-elle validée FIPS?
- Non, et nous ne prétendrons pas le contraire. Une séance affichée dans un navigateur Web utilise des algorithmes approuvés FIPS par l’entremise de la cryptographie propre au navigateur et elle est chiffrée de bout en bout, mais un navigateur n’est pas un module validé. Une séance affichée dans l’application de visualisation Lavawall est protégée aux deux extrémités par un module validé, le certificat no 5247. Nous maintenons cette ligne de démarcation pour que vous sachiez sur quoi vous vous appuyez.