Go obtient la certification FIPS 140-3

• Le certificat n°5247 correspond à la certification CMVP du Go Cryptographic Module et est enregistré avec le statut Active dans la norme FIPS 140-3
• Le Go Cryptographic Module est une bibliothèque logicielle qui fournit des fonctions cryptographiques à la bibliothèque standard de Go ainsi qu’à d’autres applications Go, et son niveau de sécurité global est Level 1
• La certification s’applique lorsqu’il est exploité en approved mode, et la date d’expiration indiquée est le 26 avril 2031
• L’historique de validation indique Initial le 27 avril 2026, et le laboratoire d’essai est Lightship Security, Inc.
• Le fournisseur est Geomys LLC, le contact indiqué est Filippo Valsorda, et le fichier associé fourni est la Security Policy

---

Aperçu de la certification

• Le certificat n°5247 est une entrée de certification du Cryptographic Module Validation Program (CMVP) pour le Go Cryptographic Module
• La norme est FIPS 140-3, le statut est Active, et le niveau de sécurité global enregistré est Level 1
• La date d’expiration indiquée est le 26 avril 2031
• L’historique de validation indique Initial le 27 avril 2026, et le laboratoire d’essai est Lightship Security, Inc.

Informations sur le module

• Le Go Cryptographic Module est une bibliothèque logicielle qui fournit des fonctions cryptographiques à la bibliothèque standard de Go et à d’autres applications Go
• Le type de module est Software et l’implémentation est indiquée comme MultiChipStand
• Les exceptions de niveau de sécurité sont enregistrées comme Physical security: N/A et Non-invasive security: N/A

Conditions d’exploitation et limites

• La certification s’applique lorsqu’il est exploité en approved mode
• Il est précisé qu’il n’existe aucune garantie minimale de robustesse pour les SSP générés, par exemple les clés
• Il est précisé qu’il n’existe aucune garantie minimale de sécurité pour les SSP chargés de l’extérieur, par exemple les clés et chaînes de bits, ou pour les SSP configurés comme SSP chargés de l’extérieur

Fournisseur et fichiers associés

• Geomys LLC est enregistré comme fournisseur, avec l’adresse 9450 SW Gemini Dr PMB 52960, Beaverton, OR 97008, United States
• Le contact indiqué est Filippo Valsorda
• La Security Policy est fournie comme fichier associé

[GN⁺]

Avis sur Lobste.rs

• Le chemin a été assez long. On peut voir les détails dans l’article de l’an dernier, et un nouvel article sur le certificat devrait bientôt être publié.
  Comme toujours, si vous ne savez pas si vous avez besoin de FIPS 140-3, c’est probablement que vous n’en avez pas besoin, mais si c’est vraiment nécessaire, je suis assez convaincu que Go est l’une des façons les plus simples et les plus sûres d’y parvenir. Il a été particulièrement difficile de respecter les règles de FIPS 140-3 tout en conservant la sécurité et la facilité d’usage offertes aux autres utilisateurs, mais je pense que c’est plutôt bien réussi

  • Nous gérons de gros déploiements bring-your-own-cloud qui exigent une conformité FIPS dans certains environnements clients, mais malheureusement nous n’utilisons pas du tout Go. Ce changement pourrait devenir un déclencheur pour adopter Go

• Go n’utilise pas BoringSSL ? Je me demande comment ils ont obtenu la certification FIPS avec ça

  • Non, c’était l’ancienne solution. La nouvelle approche est une implémentation purement Go, donc elle ne nécessite pas CGO : https://go.dev/blog/fips140
  • Jusqu’à présent, la conformité FIPS était possible en utilisant l’arborescence source de BoringSSL, mais compilée de manière compatible OpenSSL. OpenSSL est conforme, Red Hat fait ainsi sur RHEL, et nous dépendons aussi de cette approche pour toutes nos charges de travail. En gros, c’est similaire à https://github.com/golang-fips/go
    Cette nouvelle approche est entièrement en Go natif. Ce n’est plus OpenSSL ni un autre contournement : cela se règle simplement avec la bibliothèque standard

• Je me demande quels effets concrets cela aura. Est-ce que Go devient désormais une option plus attractive pour certaines entreprises ou organisations, ou est-ce simplement un changement lié à la sécurité ?

  • Du point de vue de la sécurité, c’est une régression, mais cela permet de l’utiliser dans certains environnements gouvernementaux
  • Les sous-traitants du complexe militaro-industriel américain pourront désormais recruter davantage de programmeurs Go et livrer des logiciels sur cette base
  • Globalement, j’ai tendance à penser prudemment que c’est plutôt négatif pour la sécurité. On ne peut pas utiliser des chiffrements modernes comme (X)ChaCha20-Poly1305
  • Notre entreprise fournit à la fois des produits commerciaux et des produits pour l’administration, et pour ces derniers FIPS est une exigence incontournable. Côté Go, nous dépendons du fait que Red Hat gère cela correctement, et le résultat est un binaire utilisable dans n’importe quel environnement

• Très bien. J’ai déjà déployé par le passé une build FIPS de Go de Red Hat, et je n’ai jamais aimé le fait qu’il faille utiliser une version différente de toute la pile Go pour respecter FIPS
  Beaucoup de produits vendus au gouvernement américain exigent l’usage de FIPS, et comme on ne veut pas produire séparément des versions FIPS et non-FIPS, cela compte énormément pour permettre aux entreprises d’adopter Go