Праверка сертыфіката CMVP за заявай VPN пра FIPS

Старонкі пастаўшчыкоў, якія кажуць пра FIPS-валідацыю, не з'яўляюцца доказам, якое можна падшыць. Доказ — гэта нумар сертыфіката, назва модуля, правераная версія і ўмовы эксплуатацыі, далучаныя да яго, і яны павінны адпавядаць зборцы, якую вы разгортваеце. У NIST CMVP FAQ ясна сказана пра розніцу паміж прадуктам, які заяўляе сумяшчальнасць, і модулем, які прайшоў валідацыю. Выканайце чатыры крокі ніжэй па парадку і захоўвайце запіс разам з разгортваннем.

Крок 1: атрымайце нумар сертыфіката, а не значок

Папрасіце ў пастаўшчыка нумар сертыфіката CMVP, які ахоплівае крыптаграфічны модуль у прадукце, які вы збіраецеся выкарыстоўваць. Нумар сертыфіката — гэта канкрэтны аб'ект, які можна праверыць, а значок — маркетынг. Калі ў адказе апісваецца алгарытм замест модуля, адказ адказаў на іншае пытанне. Настойце яшчэ раз на нумары, замест таго каб прымаць PDF са значком. Запіс за нумарам — гэта тое, што аўдытар можа прасачыць.

Затым знайдзіце гэты нумар у афіцыйным пошуку правераных модуляў і прачытайце запіс, а не яго кароткае выкладанне. Запіс называе пастаўшчыка, модуль, правераную версію і статус, і ён спасылаецца на дакумент палітыкі бяспекі, які апісвае, як модуль павінен працаваць.

Запішыце гэтыя пяць палёў, бо наступны крок параўноўвае іх са зборкай. Адна калонка ў табліцы дастатковая.

Крок 2: суаднясіце версію модуля са зборкай

Версія кліента VPN і ўбудаванага модуля рэдка маюць адзін і той жа нумар, і гэта нармальна. Важна тое, ці з'яўляецца версія модуля ў вашай зборцы ў правераным запісе. Абнаўленне можа змяніць модуль, не змяняючы назвы прадукту, і гэта ціха выводзіць разгортванне за межы праверанай канфігурацыі.

Спытайце, які кампанент выкарыстоўвае модуль і як зацверджаны рэжым выбіраецца ў падтрымоўванай канфігурацыі. Зборка, якая можа працаваць у незацверджаным рэжыме, — гэта не той самы доказ, што зборка, настроеная на зацверджаны.

Чытайце лакальную зборку, каб параўнанне выкарыстоўвала артэфакт, а не старонку загрузкі. Каманды ніжэй друкуюць менавіта гэта.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Калі модуль паведамляе версію, адрозную ад сертыфіката, заява зрушылася, і запіс трэба абнавіць, перш чым хто-небудзь што-небудзь падпіша.

Крок 3: прачытайце ўмовы эксплуатацыі

Сертыфікат нясе ўмовы, якія апісваюць асяроддзе, якое ахоплівае валідацыя. Гэтыя ўмовы могуць называць платформу, канфігурацыю, дапушчальныя памеры ключоў і паслугі, якія павінны быць абмежаваныя. Звычайная ўстаноўка, якая іх ігнаруе, — гэта разгортванне па-за праверанымі межамі, нават калі бінарны файл ідэнтычны. Таму дакумент палітыкі бяспекі мае такое ж значэнне, як і нумар сертыфіката.

Трымайце рэкамендацыі пастаўшчыка побач з сертыфікатам, бо яны тлумачаць, якія налады выбіраюць зацверджаны рэжым і якія выводзяць прадукт за яго межы.

Калі ўмовы немагчыма выканаць у вашым асяроддзі, сумленнае сцвярджэнне — што гэта разгортванне знаходзіцца па-за праверанай канфігурацыяй. Назва ўмовы, якую немагчыма выканаць, ператварае гэтае сцвярджэнне ў нешта, што каманда можа выправіць або прыняць.

Крок 4: пацвердзіце статус сёння

Запіс CMVP мае статус, і статус не вечны. У FAQ NIST апісаны даты пераходу FIPS 140-2 у 2026 годзе, пасля якіх у актыўным спісе застануцца толькі валідацыі FIPS 140-3. Сертыфікат, які быў актыўным падчас зацвярджэння закупкі, сёння можа быць гістарычным.

Гістарычны і адкліканы — розныя станы, і кожны мае сваё значэнне для закупкі. Праверце жывы запіс, а не здымак экрана з папкі праекта, і запішыце дату праверкі.

Затым спытайце ўладальніка камплаенсу або закупак, які статус прымае іх патрабаванне, бо гэта палітычнае рашэнне, а не тэхнічная знаходка. Запішыце адказ з датай.

Праверце запіс супраць разгортвання

Параўнайце чатыры сабраныя значэнні: нумар сертыфіката, версію модуля са зборкі, дзейныя ўмовы эксплуатацыі і бягучы статус. Любая разбежнасць — гэта знаходка, і знаходка належыць у запіс разгортвання, а не ў слайд.

Захоўвайце доказы разам са зборкай, уключаючы дату і чалавека, які правяраў. Адна папка на выпуск дастаткова.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Трымайце заяву і ў яе межах. Валідацыя модуля нічога не кажа пра апрацоўку пратаколаў VPN, яго рашэнні аб аўтарызацыі ці палітыку журналаў. Гэта канкрэтны доказ пра адзін вызначаны крыптаграфічны кампанент, і стаўленне да яго як да адзнакі прадукту — гэта тое, як файл камплаенсу пачынае апісваць нешта, што ніхто не разгортваў.