VPN-in FIPS iddiasının arxasındakı CMVP sertifikatını yoxlayın

FIPS təsdiqlənmiş olduğunu deyən satıcı səhifələri arxivə qoya biləcəyiniz sübut deyil. Sübut sertifikat nömrəsi, modul adı, təsdiqlənmiş versiya və ona bağlı iş şərtləridir və bunlar yerləşdirdiyiniz quruluşla uyğun olmalıdır. NIST CMVP FAQ uyğunluq iddia edən məhsulla təsdiqlənmiş modul arasındakı fərqi açıq deyir. Aşağıdakı dörd addımı ardıcıllıqla işləyin və qeydi yerləşdirmə ilə birlikdə saxlayın.

Addım 1: nişanı deyil, sertifikat nömrəsini götürün

Satıcıdan istifadə etməyi planlaşdırdığınız məhsuldakı kriptoqrafik modulu əhatə edən CMVP sertifikat nömrəsini soruşun. Sertifikat nömrəsi konkret, yoxlanıla bilən obyektdir, nişan isə marketinqdir. Əgər cavab modul əvəzinə alqoritmi təsvir edirsə, cavab başqa suala cavab verib. Nişanın PDF-ni qəbul etmək əvəzinə nömrə üçün bir dəfə də təkid edin. Nömrənin arxasındakı qeyd auditorun izləyə biləcəyi şeydir.

Sonra həmin nömrəni rəsmi təsdiqlənmiş modul axtarışında tapın və xülasəsini deyil, qeydin özünü oxuyun. Qeyd satıcını, modulu, təsdiqlənmiş versiyanı və statusu göstərir və modulun necə işləməli olduğunu təsvir edən təhlükəsizlik siyasəti sənədinə keçid verir.

Bu beş sahəni yazın, çünki növbəti addım onları quruluşla müqayisə edir. Cədvəldə bir sütun kifayətdir.

Addım 2: modul versiyasını quruluşla uyğunlaşdırın

VPN müştəri versiyası ilə daxili modul versiyası nadir hallarda eyni nömrəni paylaşır və bu normaldır. Əsas məsələ quruluşunuzdakı modul versiyasının təsdiqlənmiş qeyddə görünüb-görünməməsidir. Yeniləmə məhsulun adını dəyişmədən modulu dəyişə bilər və bununla yerləşdirmə səssizcə təsdiqlənmiş konfiqurasiyadan kənara çıxır.

Modulun hansı komponentdə istifadə olunduğunu və təsdiqlənmiş rejimin dəstəklənən konfiqurasiyada necə seçildiyini soruşun. Təsdiqlənməmiş rejimdə işləyə bilən quruluş, təsdiqlənmiş rejim üçün konfiqurasiya edilmiş quruluşla eyni sübut deyil.

Lokal quruluşu oxuyun ki, müqayisə endirmə səhifəsini deyil, artefaktı istifadə etsin. Aşağıdakı əmrlər məhz bunu çap edir.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Modul sertifikatdan fərqli versiya bildirdikdə, iddia sürüşüb və kimsə nəyisə imzalamazdan əvvəl qeydin yenilənməsi lazımdır.

Addım 3: iş şərtlərini oxuyun

Sertifikat təsdiqləmənin əhatə etdiyi mühiti təsvir edən şərtlər daşıyır. Bu şərtlər platformanı, konfiqurasiyanı, icazə verilən açar ölçülərini və məhdudlaşdırılmalı xidmətləri göstərə bilər. Onları nəzərə almayan adi quraşdırma, binar eyni olsa da, təsdiqlənmiş sərhəddən kənar yerləşdirmədir. Təhlükəsizlik siyasəti sənədi buna görə sertifikat nömrəsi qədər vacibdir.

Satıcı təlimatını sertifikatın yanında saxlayın, çünki hansı parametrlərin təsdiqlənmiş rejimi seçdiyini və hansıların məhsulu ondan kənara çıxardığını izah edir.

Şərtlər mühitinizdə yerinə yetirilə bilmirsə, dürüst ifadə budur: bu yerləşdirmə təsdiqlənmiş konfiqurasiyadan kənardadır. Yerinə yetirilə bilməyən şərtin adını çəkmək bu ifadəni komandanın düzəldə və ya qəbul edə biləcəyi bir şeyə çevirir.

Addım 4: statusu bugün təsdiqləyin

CMVP qeydi status daşıyır və status daimi deyil. NIST FAQ FIPS 140-2 keçid tarixlərini 2026-cı ildə təsvir edir, bundan sonra aktiv siyahıda yalnız FIPS 140-3 təsdiqləmələri qalır. Alış təsdiqlənərkən aktiv olan sertifikat bugün tarixi ola bilər.

Tarixi və ləğv edilmiş fərqli hallardır və hər birinin satınalma üçün öz mənası var. Layihə qovluğundakı ekran görüntüsünü deyil, canlı qeydi yoxlayın və yoxladığınız tarixi qeyd edin.

Sonra uyğunluq və ya satınalma sahibindən tələblərinin hansı statusu qəbul etdiyini soruşun, çünki bu, texniki tapıntı deyil, siyasət qərarıdır. Cavabı tarixlə birlikdə qeyd edin.

Qeydi yerləşdirmə ilə müqayisə edin

Toplanmış dörd dəyəri müqayisə edin: sertifikat nömrəsi, quruluşdan gələn modul versiyası, qüvvədə olan iş şərtləri və cari status. Hər uyğunsuzluq tapıntıdır və tapıntı slaydda deyil, yerləşdirmə qeydində olmalıdır.

Sübutu quruluşla birlikdə saxlayın, tarix və yoxlayan şəxslə birlikdə. Hər buraxılış üçün bir qovluq kifayətdir.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

İddianı öz sərhədi içində də saxlayın. Modul təsdiqləməsi VPN-in protokol davranışı, avtorizasiya qərarları və ya jurnal siyasəti haqqında heç nə demir. Bu, bir müəyyən edilmiş kriptoqrafik komponent haqqında konkret sübutdur və ona məhsul balı kimi baxmaq uyğunluq faylının heç kimin yerləşdirmədiyi bir şeyi təsvir etməsi ilə nəticələnir.