Comproveu el certificat CMVP darrere l'afirmació FIPS d'una VPN

Les pàgines de proveïdors que diuen FIPS validat no són proves que pugueu arxivar. La prova és un número de certificat, un nom de mòdul, una versió validada i les condicions d'explotació que hi van lligades, i totes han de coincidir amb la compilació que desplegueu. Les preguntes freqüents del NIST CMVP són clares sobre la diferència entre un producte que afirma compatibilitat i un mòdul que s'ha validat. Feu els quatre passos següents en ordre i guardau el registre amb el desplegament.

Pas 1: obteniu el número de certificat, no la insígnia

Demaneu al proveïdor el número de certificat CMVP que cobreix el mòdul criptogràfic del producte que voleu executar. Un número de certificat és un objecte concret i verificable, mentre que una insígnia és màrqueting. Si la resposta descriu un algorisme en lloc d'un mòdul, la resposta ha contestat una altra pregunta. Insistiu una vegada més pel número en lloc d'acceptar un PDF d'una insígnia. El registre que hi ha darrere del número és el que un auditor pot seguir.

Després cercau aquest número al cercador oficial de mòduls validats i llegiu el registre, no un resum. El registre indica el proveïdor, el mòdul, la versió validada i l'estat, i enllaça el document de política de seguretat que descriu com ha de funcionar el mòdul.

Anotau aquests cinc camps, perquè el pas següent els compara amb la compilació. Una columna d'un full de càlcul ja n'hi ha prou.

Pas 2: feu coincidir la versió del mòdul amb la compilació

La versió d'un client VPN i la versió d'un mòdul incrustat poques vegades comparteixen número, i això és normal. El que importa és si la versió del mòdul dins la vostra compilació apareix al registre validat. Una actualització pot canviar el mòdul sense canviar el nom del producte, cosa que desplaça silenciosament el desplegament fora de la configuració validada.

Preguntau quin component fa servir el mòdul i com es selecciona el mode aprovat a la configuració suportada. Una compilació que pot funcionar en un mode no aprovat no és la mateixa prova que una compilació configurada per al mode aprovat.

Llegiu la compilació local, perquè la comparació faci servir l'artefacte i no la pàgina de descàrrega. Les ordres de sota imprimeixen exactament això.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Quan el mòdul informa d'una versió diferent de la del certificat, l'afirmació s'ha desviat i el registre s'ha d'actualitzar abans que ningú signi res.

Pas 3: llegiu les condicions d'explotació

El certificat porta condicions que descriuen l'entorn que cobreix la validació. Aquestes condicions poden indicar la plataforma, la configuració, les mides de clau permeses i els serveis que cal restringir. Una instal·lació corrent que les ignora és un desplegament fora del límit validat, fins i tot quan el binari és idèntic. Per això el document de política de seguretat és tan important com el número de certificat.

Guardau les indicacions del proveïdor al costat del certificat, perquè expliquen quins paràmetres seleccionen el mode aprovat i quins treuen el producte d'aquest mode.

Si les condicions no es poden complir al vostre entorn, l'afirmació honesta és que aquest desplegament queda fora de la configuració validada. Anomenar la condició que no es pot complir converteix aquesta afirmació en una cosa que un equip pot corregir o acceptar.

Pas 4: confirmeu l'estat d'avui

El registre CMVP porta un estat, i l'estat no és permanent. Les preguntes freqüents del NIST descriuen les dates de transició de FIPS 140-2 el 2026, després de les quals només queden validacions FIPS 140-3 a la llista activa. Un certificat que era actiu quan es va aprovar la compra pot ser històric avui.

Històric i revocat són estats diferents, i cadascun té el seu significat per a la compra. Comprovau el registre viu i no una captura de pantalla de la carpeta del projecte, i anotau la data en què ho heu comprovat.

Després preguntau a la persona responsable de compliment o de compres quin estat accepta el seu requisit, perquè és una decisió de política i no una troballa tècnica. Registrau la resposta amb una data.

Comprovau el registre contra el desplegament

Comparau els quatre valors recollits: el número de certificat, la versió del mòdul de la compilació, les condicions d'explotació vigents i l'estat actual. Qualsevol desajust és una troballa, i la troballa pertany al registre del desplegament, no a una diapositiva.

Emmagatzemau la prova amb la compilació, incloent-hi la data i la persona que ho va comprovar. Una carpeta per versió ja n'hi ha prou.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Mantingueu també l'afirmació dins del seu límit. La validació d'un mòdul no diu res sobre el tractament de protocols de la VPN, les seves decisions d'autorització ni la seva política de registres. És una prova concreta sobre un component criptogràfic definit, i tractar-ho com una puntuació de producte és com un expedient de compliment acaba descrivint una cosa que ningú no va desplegar.