Certaines organisations doivent utiliser des authentificateurs validés FIPS 140-3 pour l’authentification avancée : une clé de sécurité ou une clé d’accès dont le module cryptographique a réussi les essais du Cryptographic Module Validation Program du NIST. Affirmer qu’un utilisateur possède une telle clé est facile; le prouver est difficile. Lavawall® le prouve, à l’enregistrement et de nouveau à chaque connexion, et peut refuser tout ce qui ne satisfait pas à l’exigence.
Ce qu’est FIPS 140-3, et la date au calendrier
FIPS 140-3 est la norme fédérale américaine actuelle pour les modules cryptographiques, publiée par le NIST et fondée sur la norme internationale ISO/IEC 19790. Un certificat couvre le module qui effectue la cryptographie, soit, pour une clé de sécurité, la puce qu’elle contient, et non l’application à laquelle elle donne accès. Le 21 septembre 2026, le NIST déplace toutes les validations FIPS 140-2 vers sa liste historique : un programme qui repose encore sur du matériel 140-2 vit donc à crédit, et les nouveaux approvisionnements devraient exiger FIPS 140-3.
Comment fonctionne l’application de l’exigence
Dans la console, vous définissez la norme minimale d’authentificateur à « validé FIPS 140-3 ». Dès lors, chaque clé d’accès ou clé de sécurité est vérifiée par rapport à la liste tenue à jour des authentificateurs validés du CMVP du NIST.
| Étape | Ce qui se passe |
|---|---|
| Vérifié à l’enregistrement | Lorsqu’une clé est inscrite, son attestation est lue et mise en correspondance avec un certificat FIPS 140-3 du CMVP en vigueur, par exemple la YubiKey 5 FIPS Series sous le certificat 5291, valide jusqu’en 2031. Un modèle sans un tel certificat n’est pas accepté à ce niveau. |
| Revérifié à chaque connexion | La norme est appliquée à chaque connexion, et pas seulement une fois, de sorte qu’une clé ne peut pas passer sous le seuil sans être remarquée. |
| Un NIP ou une donnée biométrique est exigé | La vérification de l’utilisateur est exigée, ce qui, sur la plupart des clés, place l’appareil dans son mode approuvé FIPS. |
| D’abord en mode rapport seulement | Exécutez le contrôle en mode rapport seulement pour voir quels utilisateurs seraient bloqués, émettez des clés conformes, puis activez l’application de l’exigence lorsque tout le monde est couvert. |
Les niveaux d’assurance pris en charge
Vous définissez dans la console la norme minimale d’authentificateur, et Lavawall évalue chaque clé par rapport à un registre que nous tenons à jour et que nous pouvons présenter à un auditeur, vérifié par rapport à la liste du CMVP du NIST plutôt que tiré du marketing des fournisseurs. Trois niveaux sont proposés.
FIPS 140-3 Recommandé
Un certificat du CMVP du NIST en vigueur couvre la clé, le périmètre validé inclut la fonction FIDO2 et le fournisseur publie un AAGUID propre à la variante FIPS. Aujourd’hui, il s’agit de la gamme Yubico YubiKey 5 FIPS Series, sous le certificat CMVP 5291 (actif, valide jusqu’en 2031).
- YubiKey 5C FIPS, 5 Nano FIPS et 5C Nano FIPS
- YubiKey 5 NFC FIPS et 5C NFC FIPS
- YubiKey 5Ci FIPS (Lightning)
Les mêmes clés vendues sous le profil d’entreprise de Yubico correspondent au certificat 5291 selon la version du micrologiciel (5.7.4); nous les confirmons sur un exemplaire physique avant de nous y fier lors d’un audit. C’est le niveau à exiger pour les nouveaux travaux.
FIPS 140-2 Historique
L’ancienne gamme YubiKey 5 FIPS Series sous micrologiciel 5.4.x, y compris les modèles NFC et 5Ci, est validée sous les certificats CMVP 3907 et 3914. Lavawall les accepte au réglage « 140-2 ou mieux » et affiche leur statut historique plutôt que de faire comme s’il s’agissait d’une validation active.
Le NIST déplace les validations FIPS 140-2 vers sa liste historique le 21 septembre 2026; considérez donc ce niveau comme une passerelle pour les clés déjà sur le terrain, non comme une destination pour les nouveaux déploiements.
Clé matérielle attestée Aucune déclaration FIPS
Toute clé de sécurité qui présente une attestation vérifiable obtient ce niveau : du matériel réel et résistant à l’hameçonnage, mais sans certificat du CMVP du NIST à l’appui, donc sans déclaration FIPS. Choisissez ce niveau lorsque vous voulez exiger une clé matérielle sans l’exigence FIPS.
Registre tenu par ThreeShield et dernière révision en août 2026; chaque certificat renvoie au CMVP afin que vous puissiez le vérifier vous-même.
Bureau à distance, protégé par un module validé
Il y a un seul endroit où Lavawall achemine lui-même des renseignements pouvant inclure des données de justice pénale : une séance de bureau à distance vers une machine qui les affiche. Ce trafic est protégé en transit par un module cryptographique validé FIPS 140-3, le certificat no 5247 du CMVP du NIST. Pour le parcours d’accès à distance qui préoccupe le plus le CJIS, la cryptographie est validée, et pas seulement robuste, et le numéro de certificat est là pour que votre évaluateur le vérifie.
Cela est distinct du contrôle de connexion décrit plus haut. L’un impose le statut FIPS 140-3 du matériel avec lequel les gens se connectent; l’autre valide la cryptographie qui protège une séance à distance pendant qu’elle est ouverte.
FIPS 140-3 dans les services propres à Lavawall
Les clés de connexion et le transit du bureau à distance ne sont pas les seuls endroits où la norme s’applique. Lorsqu’un compte exige FIPS 140-3, Lavawall exécute sa propre cryptographie avec des algorithmes approuvés FIPS et, lorsqu’un algorithme ne figure pas sur la liste approuvée, il utilise l’algorithme approuvé pour ce compte plutôt que d’appeler conforme l’autre.
| Service | En mode FIPS 140-3 |
|---|---|
| Hachage des mots de passe | Les comptes qui n’exigent pas FIPS 140-3 hachent les mots de passe avec Argon2id, la valeur par défaut moderne à forte consommation de mémoire. Argon2 ne figure pas sur la liste approuvée FIPS : un compte qui exige FIPS 140-3 passe donc à PBKDF2-HMAC-SHA-256 avec 600 000 itérations ou plus, ce qui est approuvé et respecte les recommandations actuelles de l’OWASP. |
| Coffre-fort de mots de passe | Chaque élément est chiffré, secrets et URL compris, avec AES-256-GCM sous des clés enveloppées pour chaque membre, de sorte que le coffre-fort fonctionne entièrement avec une cryptographie approuvée FIPS. |
| Soutien à distance | La séance de bureau à distance en transit est acheminée par un module cryptographique validé FIPS 140-3, le certificat no 5247 du CMVP du NIST. |
Ce que FIPS 140-3 exige de vos outils de RMM, d’application des correctifs et de GRC
Lorsqu’un cadre de référence vous renvoie à FIPS 140-3, l’exigence s’applique aux outils de tous les jours qui accèdent à vos machines : le RMM et le soutien à distance qui se connectent et prennent le contrôle, l’application des correctifs qui pousse des changements et la plateforme de GRC qui doit tout prouver. Quatre éléments distinguent un outil qui peut répondre de cette exigence de celui qui ne le peut pas.
| Ce vers quoi l’exigence pousse | Ce que fait Lavawall |
|---|---|
| Connexion sur du matériel validé | Lavawall peut exiger que chaque connexion, pour le RMM, l’application des correctifs et la GRC, utilise une clé de sécurité validée FIPS 140-3 comme la YubiKey 5 FIPS Series (certificat 5291), vérifiée par rapport à la liste du CMVP du NIST à l’enregistrement, puis de nouveau à chaque connexion. Exécutez-le d’abord en mode rapport seulement, puis appliquez l’exigence. |
| Clés et secrets conservés chiffrés | Les identifiants et les secrets sont stockés chiffrés, et l’accès à ceux-ci est consigné, de sorte que ce qui permet à un outil d’entrer dans votre environnement ne traîne pas en clair. |
| Protégé en transit, par un module validé | Les séances de bureau à distance que Lavawall achemine sont chiffrées en transit par un module cryptographique validé FIPS 140-3, le certificat no 5247 du CMVP du NIST, et non simplement par un chiffrement robuste qu’un auditeur doit croire sur parole. |
| Des preuves qu’un évaluateur accepte | Comme l’application des correctifs, le soutien à distance, les revues d’accès et la GRC s’exécutent dans une seule console, la preuve que le contrôle de connexion FIPS 140-3 était activé, et de qui s’est connecté avec quelle clé, est exportable, plutôt que le fruit d’une chasse aux captures d’écran. |
Posez maintenant la question aux outils que vous utilisez aujourd’hui. Votre RMM peut-il refuser une connexion qui n’utilise pas une clé validée FIPS 140-3? Votre outil de soutien à distance peut-il indiquer un numéro de certificat pour la cryptographie qui protège la séance, ou vous dit-il seulement qu’elle est « chiffrée »? Votre plateforme de GRC peut-elle remettre les preuves à un évaluateur sans course manuelle? Si la réponse est non aux trois questions, c’est la lacune que cela comble.
FIPS 140-3, comparé à un fournisseur d’appareils
Les fournisseurs d’accès à distance fondés sur des appareils ont aussi un discours FIPS, et BeyondTrust Secure Remote Access est celui qui revient le plus souvent. Voici où diffère le détail que vérifie un évaluateur. Lavawall cite un certificat FIPS 140-3 en vigueur pour chaque composant nommé et n’exige aucun appareil; le module validé de BeyondTrust est un certificat FIPS 140-2 lié à l’appareil, que le NIST a déplacé vers sa liste historique, et sa déclaration FIPS 140-3 nomme un OpenSSL conforme sans numéro de certificat.
| Lavawall® | BeyondTrust Secure Remote Access | |
|---|---|---|
| Module cryptographique de session | Go Cryptographic Module v1.0.0, certificat nº 5247, FIPS 140-3, en vigueur | « FIPS compliant-OpenSSL » 3.1, sans numéro de certificat indiqué |
| Propre certificat CMVP | Aucun; Lavawall n’est pas lui-même un module cryptographique, il s’appuie donc sur des modules validés plutôt que de prétendre en être un | Certificat no 3881, FIPS 140-2, validé le 3 avril 2021, maintenant sur la liste historique du NIST, dont le NIST dit qu’il « ne devrait pas être retenu par les organismes fédéraux dans les nouveaux approvisionnements » |
| Ce que couvre la déclaration FIPS | Chaque composant nommé séparément, avec son propre certificat | L’appareil B Series; le logiciel client et le navigateur ne sont pas abordés |
| Visualiseur dans un navigateur | Utilise des algorithmes approuvés FIPS par l’entremise de la cryptographie propre au navigateur; nous ne prétendons pas que le navigateur est l’un de nos modules | Non abordé |
| Appareil à acheter et à exploiter | Aucun; Lavawall s’exécute dans le navigateur et se déploie en quelques minutes | Un appareil B Series, matériel ou virtuel, à licencier, à héberger et à garder à jour |
Sources : certificat no 3881 du CMVP du NIST et déclaration de conformité FIPS 140-3 de BeyondTrust, telles que publiées, consultées en septembre 2026. Confirmez l’état actuel avant de vous y fier.
Ce que c’est, et ce que ce n’est pas
C’est un contrôle d’authentification. Il impose le statut FIPS 140-3 du matériel avec lequel vos gens se connectent et fournit à un auditeur la preuve que chaque connexion utilise une clé validée. Là où des authentificateurs validés FIPS 140-3 sont exigés, dans le cadre de l’authentification avancée du CJIS et dans les environnements à haut niveau d’assurance en général, c’est le contrôle qui en fait la preuve.
Ce n’est pas une déclaration selon laquelle tout le reste est validé FIPS. Deux parcours passent par des modules validés FIPS 140-3 : les clés de sécurité avec lesquelles les gens se connectent et les séances de bureau à distance que Lavawall achemine, sous le certificat no 5247. Au-delà, Lavawall ne prétend pas que toute sa propre cryptographie des données, ou votre environnement élargi, passe par des modules validés. Le contrôle SC-13 du CJIS vise aussi les renseignements de justice pénale qui circulent dans votre propre infrastructure, ce qui relève de cette infrastructure et qu’il revient à l’organisme de valider. Nous préférons vous dire exactement où se situe la limite plutôt que de la brouiller.
Questions fréquentes
- Que fait concrètement Lavawall pour FIPS 140-3?
- Deux choses. Il impose les authentificateurs : la console peut exiger que chaque clé d’accès ou clé de sécurité utilisée pour se connecter soit un modèle validé FIPS 140-3, vérifié par rapport à la liste des certificats du CMVP du NIST au moyen de l’attestation de la clé. Et les séances de bureau à distance que Lavawall achemine sont protégées en transit par un module validé FIPS 140-3, le certificat no 5247 du CMVP du NIST. Au-delà de ces deux parcours, il ne s’agit pas d’affirmer que toute la cryptographie des données de Lavawall, ou votre environnement élargi, est validée FIPS 140-3.
- Cela satisfait-il l’exigence de chiffrement SC-13 du CJIS?
- Non, et aucun contrôle de connexion ne le fait. Le contrôle SC-13 du CJIS porte sur la protection des renseignements de justice pénale en transit par des modules cryptographiques validés FIPS 140-3, ce qui relève de l’infrastructure qui achemine les données. Ce que couvre Lavawall est l’exigence distincte d’utiliser des authentificateurs validés FIPS 140-3 pour l’authentification avancée.
- Quelles clés sont admissibles, et que se passe-t-il le 21 septembre 2026?
- Les modèles couverts par un certificat FIPS 140-3 du CMVP du NIST en vigueur sont admissibles, par exemple la YubiKey 5 FIPS Series sous le certificat 5291, valide jusqu’en 2031. Un NIP ou une donnée biométrique doit être défini, ce qui place la plupart des clés dans leur mode approuvé FIPS. Le 21 septembre 2026, le NIST déplace les validations FIPS 140-2 vers sa liste historique; les nouveaux travaux devraient donc reposer sur du matériel validé FIPS 140-3.
- Pourquoi les clés Hirsch, Identiv, uTrust ou d’autres clés « FIPS » ne figurent-elles pas dans la liste?
- Parce qu’au niveau FIPS 140-3, Lavawall accepte seulement du matériel validé par le CMVP du NIST, et que ces fournisseurs n’avaient pas de validation CMVP pour la fonction FIDO2, avec un AAGUID propre à FIPS que nous puissions vérifier, à la date de notre dernière vérification. Une clé peut être commercialisée comme « FIPS » en raison d’une puce certifiée, d’un niveau de certification de la FIDO Alliance ou de l’utilisation d’algorithmes approuvés FIPS, et aucun de ces éléments n’est un certificat du CMVP du NIST couvrant l’authentificateur lui-même. Lorsqu’un fournisseur obtient un certificat admissible, nous l’ajoutons après l’avoir confirmé sur une clé physique.