تحقق من شهادة CMVP خلف ادعاء FIPS لأي VPN

صفحات البائعين التي تقول إن المنتج معتمد وفق FIPS ليست دليلًا يمكنك حفظه في ملف. الدليل هو رقم شهادة واسم وحدة وإصدار معتمد وظروف تشغيل مرتبطة به، ويجب أن تطابق البنية التي تنشرها. توضح أسئلة NIST CMVP الشائعة الفرق بين منتج يزعم التوافق ووحدة تم اعتمادها. نفّذ الخطوات الأربع أدناه بالترتيب، واحفظ السجل مع عملية النشر.

الخطوة 1: احصل على رقم الشهادة، لا الشارة

اطلب من البائع رقم شهادة CMVP الذي يغطي الوحدة التشفيرية في المنتج الذي تنوي تشغيله. رقم الشهادة كائن محدد قابل للتحقق، أما الشارة فتسويق. وإذا كان الرد يصف خوارزمية بدلًا من وحدة، فالرد قد أجاب عن سؤال آخر. أصرّ مرة أخرى على الحصول على الرقم بدلًا من قبول ملف PDF لشارة. السجل الكامن وراء الرقم هو ما يمكن للمدقق تتبعه.

ثم ابحث عن ذلك الرقم في البحث الرسمي للوحدات المعتمدة واقرأ السجل نفسه لا ملخصًا عنه. يذكر السجل البائع والوحدة والإصدار المعتمد والحالة، ويصل إلى وثيقة سياسة الأمان التي تصف كيفية عمل الوحدة.

اكتب هذه الحقول الخمسة، لأن الخطوة التالية تقارنها بالبنية. عمود في جدول بيانات يكفي.

الخطوة 2: طابق إصدار الوحدة مع البنية

نادرًا ما يتشارك إصدار عميل VPN وإصدار وحدة مضمّنة الرقم نفسه، وهذا طبيعي. المهم هو ما إذا كان إصدار الوحدة داخل بنيتك يظهر في السجل المعتمد. قد يغيّر التحديث الوحدة دون تغيير اسم المنتج، فينقل النشر بهدوء خارج التكوين المعتمد.

اسأل أي مكوّن يستخدم الوحدة وكيف يُختار الوضع المعتمد في التكوين المدعوم. البنية القادرة على العمل في وضع غير معتمد ليست الدليل نفسه الذي تقدمه بنية مهيأة للوضع المعتمد.

اقرأ البنية المحلية، حتى تستخدم المقارنة الأثر الفعلي لا صفحة التنزيل. الأوامر أدناه تطبع ذلك بالضبط.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

عندما تبلغ الوحدة عن إصدار مختلف عن الشهادة، يكون الادعاء قد انزاح ويحتاج السجل إلى تحديث قبل أن يوقّع أي شخص على شيء.

الخطوة 3: اقرأ ظروف التشغيل

تحمل الشهادة ظروفًا تصف البيئة التي يغطيها الاعتماد. قد تذكر تلك الظروف المنصة والتكوين وأحجام المفاتيح المسموح بها والخدمات التي يجب تقييدها. التثبيت العادي الذي يتجاهلها هو نشر خارج الحدود المعتمدة، حتى عندما يكون الملف التنفيذي مطابقًا. لهذا تكون وثيقة سياسة الأمان مهمة بقدر رقم الشهادة.

احفظ إرشادات البائع بجانب الشهادة، لأنها تشرح الإعدادات التي تختار الوضع المعتمد وتلك التي تخرج المنتج عنه.

إذا تعذّر تحقيق الظروف في بيئتك، فالقول الصادق إن هذا النشر يقع خارج التكوين المعتمد. وتسمية الظرف الذي تعذّر تحقيقه تحوّل ذلك القول إلى شيء يمكن للفريق إصلاحه أو قبوله.

الخطوة 4: تأكد من الحالة اليوم

يحمل سجل CMVP حالة، والحالة ليست دائمة. تصف أسئلة NIST الشائعة تواريخ انتقال FIPS 140-2 في 2026، وبعدها لا تبقى في القائمة النشطة سوى اعتمادات FIPS 140-3. الشهادة التي كانت نشطة وقت الموافقة على الشراء قد تكون تاريخية اليوم.

التاريخية والسحب حالتان مختلفتان، ولكل منهما معناها في الشراء. تحقق من السجل الحيّ لا من لقطة شاشة في مجلد المشروع، ودوّن تاريخ التحقق.

ثم اسأل مسؤول الامتثال أو الشراء أي حالة يقبلها متطلبه، لأن ذلك قرار سياسة لا نتيجة تقنية. سجّل الجواب مع تاريخ.

تحقق من السجل مقابل النشر

قارن القيم الأربع المجمّعة: رقم الشهادة، وإصدار الوحدة من البنية، وظروف التشغيل السارية، والحالة الحالية. أي عدم تطابق هو ملاحظة، والملاحظة مكانها سجل النشر لا شريحة عرض.

احفظ الدليل مع البنية، بما في ذلك التاريخ والشخص الذي تحقق منه. مجلد واحد لكل إصدار يكفي.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

أبقِ الادعاء داخل حدوده كذلك. اعتماد الوحدة لا يقول شيئًا عن تعامل VPN مع البروتوكولات ولا عن قرارات التخويل ولا عن سياسة السجلات. إنه دليل محدد عن مكوّن تشفيري معرّف واحد، والتعامل معه كدرجة تقييم للمنتج هو كيف ينتهي ملف الامتثال بوصف شيء لم ينشره أحد.