VPN-এর FIPS দাবির পেছনে থাকা CMVP সার্টিফিকেট যাচাই করুন

যে ভেন্ডর পেজে লেখা থাকে FIPS validated, সেটি এমন প্রমাণ নয় যা আপনি ফাইলে রাখতে পারবেন। প্রমাণ হলো একটি সার্টিফিকেট নম্বর, একটি মডিউল নাম, একটি বৈধ সংস্করণ এবং তার সঙ্গে যুক্ত অপারেটিং শর্ত, আর সেগুলোকে অবশ্যই আপনার ডিপ্লয় করা বিল্ডের সঙ্গে মিলতে হবে। NIST CMVP FAQ স্পষ্টভাবে বলে দেয় সামঞ্জস্যের দাবি করা পণ্য আর বৈধতা পাওয়া মডিউলের পার্থক্য। নিচের চারটি ধাপ ক্রমে সম্পন্ন করুন এবং রেকর্ডটি ডিপ্লয়মেন্টের সঙ্গে রাখুন।

ধাপ 1: ব্যাজ নয়, সার্টিফিকেট নম্বর নিন

আপনি যে পণ্য চালাতে চান তার ক্রিপ্টোগ্রাফিক মডিউল কভার করে এমন CMVP সার্টিফিকেট নম্বর ভেন্ডরের কাছে চান। সার্টিফিকেট নম্বর হলো নির্দিষ্ট, যাচাইযোগ্য বস্তু, আর ব্যাজ হলো মার্কেটিং। উত্তর যদি মডিউলের বদলে অ্যালগরিদম বর্ণনা করে, তবে উত্তরটি অন্য প্রশ্নের জবাব দিয়েছে। ব্যাজের PDF মেনে নেওয়ার বদলে নম্বরটির জন্য আরেকবার জোর দিন। নম্বরের পেছনের রেকর্ডই হলো যা একজন অডিটর অনুসরণ করতে পারেন।

তারপর সেই নম্বরটি অফিসিয়াল ভ্যালিডেটেড-মডিউল সার্চে খুঁজুন এবং সারসংক্ষেপ নয়, রেকর্ডটি পড়ুন। রেকর্ডে ভেন্ডর, মডিউল, বৈধ সংস্করণ ও স্ট্যাটাস লেখা থাকে, এবং এটি সেই সিকিউরিটি পলিসি নথির লিংক দেয় যা বর্ণনা করে মডিউলটি কীভাবে কাজ করার কথা।

এই পাঁচটি ক্ষেত্র লিখে রাখুন, কারণ পরের ধাপে সেগুলো বিল্ডের সঙ্গে তুলনা করা হবে। স্প্রেডশিটে একটি কলামই যথেষ্ট।

ধাপ 2: মডিউল সংস্করণ বিল্ডের সঙ্গে মিলান

VPN ক্লায়েন্টের সংস্করণ আর এমবেড করা মডিউলের সংস্করণ খুব কমই একই নম্বর বহন করে, আর এটি স্বাভাবিক। আসল বিষয় হলো আপনার বিল্ডের ভেতরের মডিউল সংস্করণটি বৈধ রেকর্ডে আছে কি না। একটি আপডেট পণ্যের নাম না বদলেই মডিউল বদলে দিতে পারে, যা চুপচাপ ডিপ্লয়মেন্টকে বৈধ কনফিগারেশনের বাইরে সরিয়ে দেয়।

জিজ্ঞেস করুন কোন কম্পোনেন্ট মডিউলটি ব্যবহার করে এবং সমর্থিত কনফিগারেশনে অনুমোদিত মোড কীভাবে বেছে নেওয়া হয়। যে বিল্ড অননুমোদিত মোডে চলতে পারে, সেটি অনুমোদিত মোডের জন্য কনফিগার করা বিল্ডের সমান প্রমাণ নয়।

লোকাল বিল্ডটি পড়ুন, যাতে তুলনাটি ডাউনলোড পেজ নয়, আর্টিফ্যাক্ট ব্যবহার করে। নিচের কমান্ডগুলো ঠিক সেটাই দেখায়।

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

যখন মডিউল সার্টিফিকেটের চেয়ে ভিন্ন সংস্করণ রিপোর্ট করে, তখন দাবিটি সরে গেছে এবং কেউ কিছু সই করার আগে রেকর্ডটি হালনাগাদ করতে হবে।

ধাপ 3: অপারেটিং শর্তগুলো পড়ুন

সার্টিফিকেটে এমন শর্ত থাকে যা বৈধতা যে পরিবেশকে কভার করে তা বর্ণনা করে। সেই শর্তে প্ল্যাটফর্ম, কনফিগারেশন, অনুমোদিত কী-সাইজ এবং যে সার্ভিসগুলো সীমিত করতে হবে তার নাম থাকতে পারে। যে সাধারণ ইনস্টলেশন এগুলো উপেক্ষা করে, সেটি বৈধ সীমার বাইরের ডিপ্লয়মেন্ট, এমনকি যখন বাইনারিটি অভিন্ন। এজন্যই সিকিউরিটি পলিসি নথি সার্টিফিকেট নম্বরের মতোই গুরুত্বপূর্ণ।

সার্টিফিকেটের পাশে ভেন্ডরের নির্দেশনা রাখুন, কারণ এটি ব্যাখ্যা করে কোন সেটিংস অনুমোদিত মোড বেছে নেয় আর কোনগুলো পণ্যকে তার বাইরে নিয়ে যায়।

যদি আপনার পরিবেশে শর্তগুলো পূরণ করা না যায়, তবে সৎ বিবৃতি হলো এই ডিপ্লয়মেন্টটি বৈধ কনফিগারেশনের বাইরে। যে শর্ত পূরণ করা যায় না তার নাম বলা সেই বিবৃতিকে এমন কিছুতে পরিণত করে যা একটি দল ঠিক করতে বা মেনে নিতে পারে।

ধাপ 4: আজকের স্ট্যাটাস নিশ্চিত করুন

CMVP রেকর্ডে একটি স্ট্যাটাস থাকে, আর স্ট্যাটাস স্থায়ী নয়। NIST-এর FAQ 2026 সালে FIPS 140-2 রূপান্তরের তারিখগুলো বর্ণনা করে, এরপর সক্রিয় তালিকায় কেবল FIPS 140-3 বৈধতাগুলোই থাকে। ক্রয় অনুমোদনের সময় যে সার্টিফিকেট সক্রিয় ছিল, সেটি আজ ঐতিহাসিক হতে পারে।

ঐতিহাসিক আর প্রত্যাহৃত ভিন্ন অবস্থা, এবং ক্রয়ের জন্য প্রতিটির আলাদা অর্থ আছে। প্রজেক্ট ফোল্ডারের স্ক্রিনশট নয়, জীবন্ত রেকর্ড যাচাই করুন এবং যে তারিখে যাচাই করেছেন তা লিখে রাখুন।

তারপর কমপ্লায়েন্স বা ক্রয়ের মালিককে জিজ্ঞেস করুন তাদের প্রয়োজনীয়তা কোন স্ট্যাটাস গ্রহণ করে, কারণ এটি প্রযুক্তিগত অনুসন্ধান নয়, নীতি-সিদ্ধান্ত। উত্তরটি তারিখসহ লিখে রাখুন।

রেকর্ডটি ডিপ্লয়মেন্টের সঙ্গে মিলিয়ে দেখুন

সংগৃহীত চারটি মান তুলনা করুন: সার্টিফিকেট নম্বর, বিল্ড থেকে পাওয়া মডিউল সংস্করণ, বলবৎ অপারেটিং শর্ত এবং বর্তমান স্ট্যাটাস। যেকোনো অমিলই একটি ফলাফল, আর সেই ফলাফলের জায়গা স্লাইডে নয়, ডিপ্লয়মেন্ট রেকর্ডে।

বিল্ডের সঙ্গে প্রমাণ সংরক্ষণ করুন, তারিখ ও যাচাইকারী ব্যক্তিসহ। প্রতিটি রিলিজের জন্য একটি ডিরেক্টরি যথেষ্ট।

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

দাবিটিকে তার সীমার ভেতরেও রাখুন। মডিউল বৈধতা VPN-এর প্রোটোকল হ্যান্ডলিং, তার অনুমোদন সিদ্ধান্ত বা তার লগিং নীতি সম্পর্কে কিছুই বলে না। এটি একটি নির্দিষ্ট ক্রিপ্টোগ্রাফিক কম্পোনেন্ট সম্পর্কে নির্দিষ্ট প্রমাণ, আর এটিকে পণ্যের স্কোর হিসেবে দেখা মানে কমপ্লায়েন্স ফাইলে এমন কিছু বর্ণনা করা যা কেউ ডিপ্লয় করেনি।