Provjerite CMVP certifikat iza VPN-ove FIPS tvrdnje

Stranice prodavača na kojima piše FIPS validirano nisu dokaz koji možete staviti u dosje. Dokaz je broj certifikata, naziv modula, validirana verzija i radni uslovi vezani uz njega, a oni se moraju podudarati s buildom koji postavljate. NIST CMVP FAQ jasno govori o razlici između proizvoda koji tvrdi kompatibilnost i modula koji je validiran. Prođite kroz četiri koraka ispod po redu i čuvajte zapis uz implementaciju.

Korak 1: uzmite broj certifikata, a ne značku

Zatražite od prodavača broj CMVP certifikata koji pokriva kriptografski modul u proizvodu koji namjeravate pokretati. Broj certifikata je konkretan, provjerljiv objekt, dok je značka marketing. Ako odgovor opisuje algoritam umjesto modula, odgovor je odgovorio na drugo pitanje. Insistirajte još jednom na broju umjesto da prihvatite PDF značke. Zapis iza broja je ono što revizor može pratiti.

Zatim potražite taj broj u službenoj pretrazi validiranih modula i pročitajte zapis, a ne njegov sažetak. Zapis navodi prodavača, modul, validiranu verziju i status, i povezuje dokument sigurnosne politike koji opisuje kako modul treba raditi.

Zapišite tih pet polja, jer sljedeći korak ih poredi s buildom. Jedan stupac u tabeli je dovoljan.

Korak 2: uskladite verziju modula s buildom

Verzija VPN klijenta i verzija ugrađenog modula rijetko dijele isti broj, i to je normalno. Važno je da li se verzija modula u vašem buildu pojavljuje u validiranom zapisu. Ažuriranje može promijeniti modul bez promjene naziva proizvoda, što tiho pomjera implementaciju izvan validirane konfiguracije.

Pitajte koja komponenta koristi modul i kako se odobreni način rada bira u podržanoj konfiguraciji. Build koji može raditi u neodobrenom načinu nije isti dokaz kao build konfiguriran za odobreni.

Pročitajte lokalni build, tako da poređenje koristi artefakt, a ne stranicu za preuzimanje. Komande ispod ispisuju upravo to.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Kada modul prijavi drugu verziju od certifikata, tvrdnja je skrenula i zapis treba ažurirati prije nego što bilo ko nešto potpiše.

Korak 3: pročitajte radne uslove

Certifikat nosi uslove koji opisuju okruženje koje validacija pokriva. Ti uslovi mogu navesti platformu, konfiguraciju, dozvoljene veličine ključeva i usluge koje moraju biti ograničene. Obična instalacija koja ih ignorira je implementacija izvan validirane granice, čak i kada je binarni fajl identičan. Zato je dokument sigurnosne politike jednako važan kao broj certifikata.

Držite uputstva prodavača uz certifikat, jer objašnjavaju koje postavke biraju odobreni način i koje izvode proizvod iz njega.

Ako se uslovi ne mogu ispuniti u vašem okruženju, iskrena izjava je da ova implementacija stoji izvan validirane konfiguracije. Navođenje uslova koji se ne može ispuniti pretvara tu izjavu u nešto što tim može popraviti ili prihvatiti.

Korak 4: potvrdite današnji status

CMVP zapis nosi status, a status nije trajan. NIST FAQ opisuje datume prelaska FIPS 140-2 u 2026, nakon čega na aktivnoj listi ostaju samo validacije FIPS 140-3. Certifikat koji je bio aktivan kada je kupovina odobrena danas može biti istorijski.

Istorijski i opozvan su različita stanja i svako ima svoje značenje za nabavku. Provjerite živi zapis, a ne snimak ekrana iz projektne fascikle, i zabilježite datum provjere.

Zatim pitajte vlasnika usklađenosti ili nabavke koji status njihov zahtjev prihvata, jer je to politička odluka, a ne tehnički nalaz. Zapišite odgovor s datumom.

Provjerite zapis prema implementaciji

Uporedite četiri prikupljene vrijednosti: broj certifikata, verziju modula iz builda, radne uslove na snazi i trenutni status. Svako neslaganje je nalaz, a nalaz pripada zapisu implementacije, a ne slajdu.

Čuvajte dokaz uz build, uključujući datum i osobu koja je provjerila. Jedan direktorij po izdanju je dovoljan.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Držite tvrdnju i unutar njene granice. Validacija modula ne govori ništa o VPN-ovoj obradi protokola, njegovim odlukama o autorizaciji ni politici evidentiranja. To je konkretan dokaz o jednoj definisanoj kriptografskoj komponenti, a tretiranje toga kao ocjene proizvoda je način na koji dosje usklađenosti završi opisujući nešto što niko nije postavio.