Kontroleer die CMVP-sertifikaat agter 'n VPN se FIPS-bewering

Bladsye van verskaffers wat sê FIPS-gevalideer is, is nie bewyse wat jy kan indien nie. Die bewys is 'n sertifikaatnommer, 'n modulenaam, 'n gevalideerde weergawe en die bedryfstoestande wat daaraan geheg is, en dié moet ooreenstem met die bou wat jy ontplooi. Die NIST CMVP FAQ is reguit oor die verskil tussen 'n produk wat versoenbaarheid beweer en 'n module wat gevalideer is. Werk die vier stappe hieronder in volgorde deur en hou die rekord by die ontplooiing.

Stap 1: kry die sertifikaatnommer, nie die kenteken nie

Vra die verskaffer vir die CMVP-sertifikaatnommer wat die kriptografiese module dek in die produk wat jy van plan is om te gebruik. 'n Sertifikaatnommer is 'n spesifieke, kontroleerbare objek, terwyl 'n kenteken bemarking is. As die antwoord 'n algoritme beskryf in plaas van 'n module, het die antwoord 'n ander vraag beantwoord. Dring een keer meer aan om die nommer eerder as om 'n PDF van 'n kenteken te aanvaar. Die rekord agter die nommer is die ding wat 'n ouditeur kan volg.

Soek dan daardie nommer in die amptelike soektog na gevalideerde modules en lees die rekord eerder as 'n opsomming daarvan. Die rekord noem die verskaffer, die module, die gevalideerde weergawe en die status, en dit skakel na die sekuriteitsbeleiddokument wat beskryf hoe die module bedoel is om te werk.

Skryf daardie vyf velde neer, want die volgende stap vergelyk dit met die bou. 'n Kolom in 'n spreiblad is genoeg.

Stap 2: pas die moduleweergawe by die bou aan

'n VPN-kliëntweergawe en 'n ingebedde moduleweergawe deel selde 'n nommer, en dit is normaal. Wat saak maak, is of die moduleweergawe in jou bou in die gevalideerde rekord voorkom. 'n Opdatering kan die module verander sonder om die produknaam te verander, wat die ontplooiing stilweg buite die gevalideerde konfigurasie skuif.

Vra watter komponent die module gebruik en hoe die goedgekeurde modus in die ondersteunde konfigurasie gekies word. 'n Bou wat in 'n nie-goedgekeurde modus kan werk, is nie dieselfde bewys as 'n bou wat vir die goedgekeurde een gekonfigureer is nie.

Lees die plaaslike bou, sodat die vergelyking die artefak gebruik eerder as die aflaai-bladsy. Die opdragte hieronder druk presies dit.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Wanneer die module 'n ander weergawe as die sertifikaat rapporteer, het die bewering gedryf en die rekord moet bygewerk word voordat iemand iets onderteken.

Stap 3: lees die bedryfstoestande

Die sertifikaat dra toestande wat die omgewing beskryf wat die validering dek. Daardie toestande kan die platform, die konfigurasie, die toegelate sleutelgroottes en die dienste wat beperk moet word, noem. 'n Gewone installasie wat hulle ignoreer, is 'n ontplooiing buite die gevalideerde grens, selfs wanneer die binary identies is. Daarom is die sekuriteitsbeleiddokument net so belangrik soos die sertifikaatnommer.

Hou die verskaffer se leiding langs die sertifikaat, want dit verduidelik watter instellings die goedgekeurde modus kies en watter die produk daar buite plaas.

As die toestande nie in jou omgewing nagekom kan word nie, is die eerlike stelling dat hierdie ontplooiing buite die gevalideerde konfigurasie sit. Om die toestand te noem wat nie nagekom kan word nie, maak van daardie stelling iets wat 'n span kan regstel of aanvaar.

Stap 4: bevestig die status vandag

Die CMVP-rekord dra 'n status, en die status is nie permanent nie. NIST se FAQ beskryf die FIPS 140-2-oorgangsdatums in 2026, waarna slegs FIPS 140-3-validerings op die aktiewe lys oorbly. 'n Sertifikaat wat aktief was toe die aankoop goedgekeur is, kan vandag histories wees.

Histories en ingetrek is verskillende toestande, en elkeen het sy eie betekenis vir verkryging. Kontroleer die lewende rekord eerder as 'n skermkiekie uit die projekgids, en noteer die datum waarop jy gekontroleer het.

Vra dan die nakomings- of verkrygingseienaar watter status hul vereiste aanvaar, want dit is 'n beleidsbesluit eerder as 'n tegniese bevinding. Teken die antwoord met 'n datum daarop aan.

Kontroleer die rekord teen die ontplooiing

Vergelyk die vier versamelde waardes: die sertifikaatnommer, die moduleweergawe uit die bou, die bedryfstoestande wat geld, en die huidige status. Enige wanverhouding is 'n bevinding, en die bevinding hoort in die ontplooiingsrekord eerder as in 'n skyfie.

Bêre die bewyse saam met die bou, insluitend die datum en die persoon wat dit gekontroleer het. Een gids per vrystelling is genoeg.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Hou ook die bewering binne sy grens. Modulevalidering sê niks oor die VPN se protokolhantering, sy magtigingsbesluite of sy logbeleid nie. Dit is spesifieke bewyse oor een gedefinieerde kriptografiese komponent, en om dit as 'n produkpunt te behandel, is hoe 'n nakomingslêer eindig deur iets te beskryf wat niemand ontplooi het nie.