Проверете сертификата CMVP зад FIPS твърдението на VPN

Страниците на доставчици, които казват FIPS validated, не са доказателство, което да подшиете. Доказателството е номер на сертификат, име на модул, валидирана версия и условията за работа, прикачени към него, и те трябва да съвпадат със сборката, която внедрявате. NIST CMVP FAQ е категоричен за разликата между продукт, който твърди съвместимост, и модул, който е бил валидиран. Изпълнете четирите стъпки по-долу по ред и съхранявайте записа заедно с внедряването.

Стъпка 1: вземете номера на сертификата, не значката

Попитайте доставчика за номера на сертификат CMVP, който покрива криптографския модул в продукта, който смятате да използвате. Номерът на сертификата е конкретен, проверим обект, докато значката е маркетинг. Ако отговорът описва алгоритъм вместо модул, отговорът е отговорил на друг въпрос. Настоявайте още веднъж за номера, вместо да приемете PDF на значка. Записът зад номера е това, което одиторът може да проследи.

След това потърсете този номер в официалното търсене на валидирани модули и прочетете записа, а не негово резюме. Записът посочва доставчика, модула, валидираната версия и статуса и свързва документа за политика по сигурност, който описва как модулът трябва да работи.

Запишете тези пет полета, защото следващата стъпка ги сравнява със сборката. Една колона в електронна таблица е достатъчна.

Стъпка 2: съпоставете версията на модула със сборката

Версията на VPN клиента и версията на вградения модул рядко споделят един номер и това е нормално. Важно е дали версията на модула във вашата сборка присъства във валидирания запис. Актуализация може да смени модула, без да смени името на продукта, което тихо извежда внедряването извън валидираната конфигурация.

Попитайте кой компонент използва модула и как одобреният режим се избира в поддържаната конфигурация. Сборка, която може да работи в неодобрен режим, не е същото доказателство като сборка, конфигурирана за одобрения.

Прочетете локалната сборка, за да използва сравнението артефакта, а не страницата за изтегляне. Командите по-долу отпечатват точно това.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Когато модулът отчете версия, различна от сертификата, твърдението се е отклонило и записът трябва да се обнови, преди някой да подпише нещо.

Стъпка 3: прочетете условията за работа

Сертификатът носи условия, които описват средата, която валидацията покрива. Тези условия може да посочват платформата, конфигурацията, разрешените размери на ключа и услугите, които трябва да бъдат ограничени. Обикновена инсталация, която ги пренебрегва, е внедряване извън валидираната граница, дори когато двоичният файл е идентичен. Затова документът за политика по сигурност е също толкова важен, колкото номерът на сертификата.

Дръжте указанията на доставчика до сертификата, защото те обясняват кои настройки избират одобрения режим и кои извеждат продукта извън него.

Ако условията не могат да бъдат изпълнени във вашата среда, честното твърдение е, че това внедряване е извън валидираната конфигурация. Назоваването на условието, което не може да бъде изпълнено, превръща това твърдение в нещо, което екипът може да поправи или приеме.

Стъпка 4: потвърдете статуса днес

Записът CMVP носи статус и статусът не е постоянен. FAQ на NIST описва датите за преход към FIPS 140-2 през 2026 година, след които в активния списък остават само валидации по FIPS 140-3. Сертификат, който е бил активен при одобряването на покупката, днес може да е исторически.

Исторически и оттеглен са различни състояния и всяко има своето значение за доставките. Проверете живия запис, а не екранна снимка от папката на проекта, и отбележете датата, на която сте проверили.

След това попитайте отговорника за съответствие или доставки кой статус приема тяхното изискване, защото това е политическо решение, а не техническа констатация. Запишете отговора с дата.

Проверете записа срещу внедряването

Сравнете четирите събрани стойности: номера на сертификата, версията на модула от сборката, действащите условия за работа и текущия статус. Всяко несъответствие е констатация и констатацията принадлежи в записа за внедряване, а не в слайд.

Съхранявайте доказателствата със сборката, включително датата и човека, който е проверил. Една директория за версия е достатъчна.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Дръжте твърдението и в неговите граници. Валидацията на модул не казва нищо за обработката на протоколи от VPN, решенията му за оторизация или политиката му за журнали. Това е конкретно доказателство за един определен криптографски компонент и третирането му като оценка на продукт е начинът, по който файл за съответствие започва да описва нещо, което никой не е внедрил.