Dans le cours : CompTIA Security+ (SY0-601) : 3. Conception et mise en œuvre de la cryptographie

Comprendre l'intérêt des modules de sécurité matériels

Dans le cours : CompTIA Security+ (SY0-601) : 3. Conception et mise en œuvre de la cryptographie

Démarrer mon mois d’essai gratuit Acheter pour mon équipe

Comprendre l'intérêt des modules de sécurité matériels

“

- [Formateur] La cryptographie s’avère plutôt lente, car elle requiert de nombreux calculs mathématiques. Pour la rendre plus efficiente, les ingénieurs créent souvent du matériel informatique spécialement conçu pour les opérations de chiffrement et de déchiffrement. Les modules de sécurité matériels sont des périphériques spéciaux qui gèrent les clés de chiffrement et effectuent des opérations de chiffrement de façon très efficiente. Leur achat et leur exploitation reviennent cher, mais ils offrent un haut niveau de sécurité quand ils sont bien configurés. Un de leurs avantages est qu’ils peuvent créer et gérer des clés de chiffrement sans les exposer à un seul être humain, ce qui réduit sensiblement la probabilité que ces clés soient compromises. Les fournisseurs de services cloud utilisent souvent ces modules pour gérer leurs clés de chiffrement et proposent des services associés à leurs clients comme méthode sécurisée pour gérer leurs propres clés sans les exposer à leur fournisseur. Les organismes officiels qui utilisent des modules de sécurité matériels sont tenus de répondre aux exigences du FIPS 140-2. Ce standard relatif à la sécurité des modules de chiffrement détaille les règles à respecter pour utiliser ces modules ou tout autre matériel de chiffrement. Le FIPS 140-2 classe ces modules par ordre de niveau de sécurité croissant. Le niveau de sécurité 1 autorise les systèmes d’exploitation standard et n’inclut aucune exigence de sécurité physique. Il correspond aux applications à faible niveau de sécurité, comme les cartes de chiffrement des ordinateurs. Le niveau de sécurité 2 ajoute des exigences de sécurité physique, dont des témoins d’inviolabilité, mais aussi de certification des logiciels et des firmware selon les critères communs de niveau EAL2. Le niveau de sécurité 3 ajoute d’autres exigences, comme la mise à zéro du contenu du module en cas de tentative de violation ainsi que l’authentification de l’opérateur avant de lui octroyer un accès à des clés de chiffrement. Il exige aussi que les logiciels et les firmware respectent les critères communs de niveau EAL3. Le niveau de sécurité 4, le plus haut qui soit selon le FIPS 140-2, impose des exigences fortes, dont le respect des critères communs de niveau EAL4 pour les logiciels et les firmware. Et il induit des exigences de sécurité physique strictes. Les détails du FIPS 140-2 vous concernent seulement si vous exploitez des données gouvernementales, mais ces niveaux s’avèrent utiles pour jauger la sécurité des modules des fournisseurs cloud. Les évaluations du gouvernement fédéral américain vous permettent de vous faire une idée de la sécurité qui caractérise vos clés de chiffrement.

Table des matières