Prověřte certifikát CMVP za tvrzením VPN o FIPS

Stránky dodavatelů, které říkají FIPS validated, nejsou důkaz, který byste mohli založit. Důkazem je číslo certifikátu, název modulu, validovaná verze a provozní podmínky, které jsou k němu připojené, a ty se musí shodovat s buildem, který nasazujete. NIST CMVP FAQ mluví jasně o rozdílu mezi produktem, který tvrdí kompatibilitu, a modulem, který byl validován. Projděte čtyři kroky níže v pořadí a záznam uchovávejte spolu s nasazením.

Krok 1: získejte číslo certifikátu, ne odznak

Požádejte dodavatele o číslo certifikátu CMVP, které pokrývá kryptografický modul v produktu, který hodláte provozovat. Číslo certifikátu je konkrétní, ověřitelný objekt, zatímco odznak je marketing. Pokud odpověď popisuje algoritmus místo modulu, odpověď odpověděla na jinou otázku. Trvejte ještě jednou na čísle, místo abyste přijali PDF odznaku. Záznam za číslem je to, co může auditor sledovat.

Pak to číslo vyhledejte v oficiálním vyhledávači validovaných modulů a přečtěte si záznam, ne jeho shrnutí. Záznam uvádí dodavatele, modul, validovanou verzi a stav a odkazuje na dokument bezpečnostní politiky, který popisuje, jak má modul fungovat.

Zapište si těchto pět polí, protože další krok je porovnává s buildem. Jeden sloupec v tabulce stačí.

Krok 2: složte verzi modulu s buildem

Verze VPN klienta a verze vestavěného modulu málokdy sdílejí stejné číslo, a to je normální. Důležité je, zda se verze modulu ve vašem buildu objevuje ve validovaném záznamu. Aktualizace může změnit modul, aniž by změnila název produktu, což nasazení tiše posune mimo validovanou konfiguraci.

Zeptejte se, která komponenta modul používá a jak se schválený režim volí v podporované konfiguraci. Build, který může běžet v neschváleném režimu, není stejný důkaz jako build nakonfigurovaný pro schválený režim.

Přečtěte lokální build, aby porovnání použilo artefakt, ne stránku ke stažení. Příkazy níže vypisují přesně toto.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Když modul hlásí jinou verzi než certifikát, tvrzení se posunulo a záznam je třeba aktualizovat, než někdo něco podepíše.

Krok 3: přečtěte provozní podmínky

Certifikát nese podmínky, které popisují prostředí, na které se validace vztahuje. Tyto podmínky mohou uvádět platformu, konfiguraci, povolené velikosti klíčů a služby, které je nutné omezit. Běžná instalace, která je ignoruje, je nasazení mimo validovanou hranici, i když je binárka totožná. Proto je dokument bezpečnostní politiky stejně důležitý jako číslo certifikátu.

Uchovejte pokyny dodavatele vedle certifikátu, protože vysvětlují, která nastavení volí schválený režim a která produkt z něj vyvádějí.

Pokud podmínky ve vašem prostředí nelze splnit, poctivé tvrzení je, že toto nasazení stojí mimo validovanou konfiguraci. Pojmenování podmínky, kterou nelze splnit, z toho tvrzení dělá něco, co tým může opravit nebo přijmout.

Krok 4: potvrďte dnešní stav

Záznam CMVP nese stav a stav není trvalý. NIST FAQ popisuje data přechodu FIPS 140-2 v roce 2026, po nichž na aktivním seznamu zůstanou jen validace FIPS 140-3. Certifikát, který byl aktivní při schválení nákupu, může být dnes historický.

Historický a odvolaný jsou různé stavy a každý má pro nákup svůj význam. Zkontrolujte živý záznam, ne screenshot z projektové složky, a poznamenejte datum, kdy jste kontrolu provedli.

Pak se zeptejte vlastníka compliance nebo nákupu, který stav jejich požadavek přijímá, protože to je politické rozhodnutí, ne technické zjištění. Zapište odpověď s datem.

Porovnejte záznam s nasazením

Porovnejte čtyři shromážděné hodnoty: číslo certifikátu, verzi modulu z buildu, platné provozní podmínky a aktuální stav. Jakýkoli nesoulad je zjištění a zjištění patří do záznamu nasazení, ne na slide.

Uchovávejte důkaz s buildem, včetně data a osoby, která kontrolu provedla. Jedna složka na vydání stačí.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Držte tvrzení i v jeho mezích. Validace modulu neříká nic o zpracování protokolů VPN, jejích rozhodnutích o autorizaci ani politice logování. Je to konkrétní důkaz o jedné definované kryptografické komponentě, a zacházet s ním jako se skóre produktu je způsob, jak compliance spis začne popisovat něco, co nikdo nenasadil.