Gwiriwch y dystysgrif CMVP y tu ôl i hawliad FIPS VPN

Nid yw tudalennau gwerthwyr sy'n dweud FIPS validated yn dystiolaeth y gallwch ei ffeilio. Y dystiolaeth yw rhif tystysgrif, enw modiwl, fersiwn ddilys a'r amodau gweithredu sydd ynghlwm wrtho, ac mae'n rhaid i'r rhain gyd-fynd â'r adeiladwaith rydych yn ei ddefnyddio. Mae Cwestiynau Cyffredin NIST CMVP yn blaen am y gwahaniaeth rhwng cynnyrch sy'n honni cydnawsedd a modiwl a ddilyswyd. Ewch trwy'r pedwar cam isod yn eu trefn, a chadwch y cofnod gyda'r defnydd.

Cam 1: cael y rhif tystysgrif, nid y bathodyn

Gofynnwch i'r gwerthwr am y rhif tystysgrif CMVP sy'n cwmpasu'r modiwl cryptograffig yn y cynnyrch rydych yn bwriadu ei redeg. Mae rhif tystysgrif yn wrthrych penodol y gellir ei wirio, tra bod bathodyn yn farchnata. Os yw'r ateb yn disgrifio algorithm yn lle modiwl, mae'r ateb wedi ateb cwestiwn gwahanol. Mynnwch unwaith eto am y rhif yn hytrach na derbyn PDF o fathodyn. Y cofnod y tu ôl i'r rhif yw'r peth y gall archwiliwr ei ddilyn.

Yna chwiliwch am y rhif hwnnw yn y chwiliad swyddogol o fodiwlau dilys a darllenwch y cofnod yn hytrach na'i grynodeb. Mae'r cofnod yn enwi'r gwerthwr, y modiwl, y fersiwn ddilys a'r statws, ac mae'n cysylltu'r ddogfen polisi diogelwch sy'n disgrifio sut y dylai'r modiwl weithredu.

Ysgrifennwch y pum maes hynny, oherwydd mae'r cam nesaf yn eu cymharu â'r adeiladwaith. Mae un golofn mewn taenlen yn ddigon.

Cam 2: cysylltu fersiwn y modiwl â'r adeiladwaith

Anaml y mae fersiwn cleient VPN a fersiwn modiwl mewnol yn rhannu'r un rhif, ac mae hynny'n normal. Y peth sy'n bwysig yw a yw fersiwn y modiwl yn eich adeiladwaith yn ymddangos yn y cofnod dilys. Gall diweddariad newid y modiwl heb newid enw'r cynnyrch, sy'n symud y defnydd yn dawel y tu allan i'r ffurfweddiad dilys.

Gofynnwch pa gydran sy'n defnyddio'r modiwl a sut y dewisir y modd cymeradwy yn y ffurfweddiad a gefnogir. Nid yw adeiladwaith a all redeg mewn modd heb ei gymeradwyo yr un dystiolaeth ag adeiladwaith wedi'i ffurfweddu ar gyfer y modd cymeradwy.

Darllenwch yr adeiladwaith lleol, fel bod y gymhariaeth yn defnyddio'r arteffact yn hytrach na'r dudalen lawrlwytho. Mae'r gorchmynion isod yn argraffu'r union beth hwnnw.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Pan fydd y modiwl yn adrodd fersiwn wahanol i'r dystysgrif, mae'r hawliad wedi symud ac mae angen diweddaru'r cofnod cyn i unrhyw un lofnodi unrhyw beth.

Cam 3: darllen yr amodau gweithredu

Mae'r dystysgrif yn cario amodau sy'n disgrifio'r amgylchedd y mae'r dilysiad yn ei gwmpasu. Gall yr amodau hynny enwi'r platfform, y ffurfweddiad, y meintiau allwedd a ganiateir a'r gwasanaethau y mae'n rhaid eu cyfyngu. Mae gosodiad cyffredin sy'n eu hanwybyddu yn ddefnydd y tu allan i'r ffin ddilys, hyd yn oed pan fo'r deuaidd yn union yr un fath. Dyna pam mae'r ddogfen polisi diogelwch yr un mor bwysig â'r rhif tystysgrif.

Cadwch ganllawiau'r gwerthwr wrth ymyl y dystysgrif, oherwydd maent yn esbonio pa osodiadau sy'n dewis y modd cymeradwy a pha rai sy'n mynd â'r cynnyrch y tu allan iddo.

Os na ellir bodloni'r amodau yn eich amgylchedd, y datganiad gonest yw bod y defnydd hwn y tu allan i'r ffurfweddiad dilys. Mae enwi'r amod na ellir ei bodloni yn troi'r datganiad hwnnw'n rhywbeth y gall tîm ei drwsio neu ei dderbyn.

Cam 4: cadarnhau'r statws heddiw

Mae gan gofnod CMVP statws, ac nid yw'r statws yn barhaol. Mae Cwestiynau Cyffredin NIST yn disgrifio dyddiadau trosglwyddo FIPS 140-2 yn 2026, ac ar ôl hynny dim ond dilysiadau FIPS 140-3 sy'n aros ar y rhestr weithredol. Gall tystysgrif a oedd yn weithredol pan gafodd y pryniant ei gymeradwyo fod yn hanesyddol heddiw.

Mae hanesyddol a dirymedig yn wahanol gyflyrau, ac mae gan bob un ei ystyr ei hun ar gyfer caffael. Gwiriwch y cofnod byw yn hytrach na sgrinlun o ffolder y prosiect, a nodwch y dyddiad y gwnaethoch ei wirio.

Yna gofynnwch i berchnogion cydymffurfiaeth neu gaffael pa statws y mae eu gofyniad yn ei dderbyn, oherwydd penderfyniad polisi yw hwnnw yn hytrach na chanfyddiad technegol. Cofnodwch yr ateb gyda dyddiad.

Gwiriwch y cofnod yn erbyn y defnydd

Cymharwch y pedwar gwerth a gasglwyd: y rhif tystysgrif, fersiwn y modiwl o'r adeiladwaith, yr amodau gweithredu sydd mewn grym a'r statws presennol. Mae unrhyw gam-gyfateb yn ganfyddiad, ac mae'r canfyddiad yn perthyn i'r cofnod defnydd yn hytrach nag i sleid.

Storiwch y dystiolaeth gyda'r adeiladwaith, gan gynnwys y dyddiad a'r person a wiriodd hi. Mae un cyfeiriadur fesul rhyddhad yn ddigon.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Cadwch y hawliad o fewn ei ffin hefyd. Nid yw dilysu modiwl yn dweud dim am drin protocol y VPN, ei benderfyniadau awdurdodi na'i bolisi cofnodi. Mae'n dystiolaeth benodol am un gydran cryptograffig ddiffiniedig, a thrin hynny fel sgôr cynnyrch yw sut y mae ffeil cydymffurfiaeth yn gorffen disgrifio rhywbeth na ddefnyddiodd neb.