Kontroller CMVP-certifikatet bag en VPN's FIPS-påstand

Leverandørsider, der siger FIPS validated, er ikke bevis, du kan lægge i en mappe. Beviset er et certifikatnummer, et modulnavn, en valideret version og de driftsbetingelser, der hører til, og de skal passe til det build, du udruller. NIST CMVP FAQ er klar om forskellen mellem et produkt, der påstår kompatibilitet, og et modul, der er blevet valideret. Gå gennem de fire trin nedenfor i rækkefølge, og opbevar registreringen sammen med udrulningen.

Trin 1: hent certifikatnummeret, ikke mærket

Bed leverandøren om det CMVP-certifikatnummer, der dækker det kryptografiske modul i det produkt, du vil køre. Et certifikatnummer er et konkret, kontrollerbart objekt, mens et mærke er markedsføring. Hvis svaret beskriver en algoritme i stedet for et modul, har svaret besvaret et andet spørgsmål. Insistér én gang mere på nummeret i stedet for at acceptere en PDF af et mærke. Registreringen bag nummeret er det, en revisor kan følge.

Slå derefter nummeret op i den officielle søgning over validerede moduler, og læs registreringen i stedet for et referat af den. Registreringen angiver leverandør, modul, valideret version og status, og den linker til sikkerhedspolitikdokumentet, der beskriver, hvordan modulet skal fungere.

Skriv de fem felter ned, fordi næste trin sammenligner dem med buildet. Én kolonne i et regneark er nok.

Trin 2: match modulversionen med buildet

En VPN-klientversion og en indlejret modulversion deler sjældent et nummer, og det er normalt. Det afgørende er, om modulversionen i dit build optræder i den validerede registrering. En opdatering kan ændre modulet uden at ændre produktnavnet, hvilket stille flytter udrulningen uden for den validerede konfiguration.

Spørg, hvilken komponent der bruger modulet, og hvordan den godkendte tilstand vælges i den understøttede konfiguration. Et build, der kan køre i en ikke-godkendt tilstand, er ikke samme bevis som et build, der er konfigureret til den godkendte.

Læs det lokale build, så sammenligningen bruger artefakten i stedet for download-siden. Kommandoerne nedenfor udskriver præcis det.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Når modulet rapporterer en anden version end certifikatet, er påstanden drevet, og registreringen skal opdateres, før nogen underskriver noget.

Trin 3: læs driftsbetingelserne

Certifikatet bærer betingelser, der beskriver det miljø, valideringen dækker. Disse betingelser kan nævne platformen, konfigurationen, de tilladte nøglestørrelser og de tjenester, der skal begrænses. En almindelig installation, der ignorerer dem, er en udrulning uden for den validerede grænse, selv når binæren er identisk. Derfor er sikkerhedspolitikdokumentet lige så vigtigt som certifikatnummeret.

Hold leverandørens vejledning ved siden af certifikatet, fordi den forklarer, hvilke indstillinger der vælger den godkendte tilstand, og hvilke der fører produktet ud af den.

Hvis betingelserne ikke kan opfyldes i dit miljø, er det ærlige udsagn, at denne udrulning ligger uden for den validerede konfiguration. At navngive den betingelse, der ikke kan opfyldes, gør udsagnet til noget, et team kan rette eller acceptere.

Trin 4: bekræft status i dag

CMVP-registreringen bærer en status, og status er ikke permanent. NIST's FAQ beskriver FIPS 140-2-overgangsdatoerne i 2026, hvorefter kun FIPS 140-3-valideringer er tilbage på den aktive liste. Et certifikat, der var aktivt, da indkøbet blev godkendt, kan være historisk i dag.

Historisk og tilbagekaldt er forskellige tilstande, og hver har sin egen betydning for indkøb. Kontroller den levende registrering i stedet for et skærmbillede fra projektmappen, og notér den dato, du kontrollerede.

Spørg derefter compliance- eller indkøbsansvarlige, hvilken status deres krav accepterer, fordi det er en politisk beslutning og ikke en teknisk konstatering. Registrer svaret med en dato.

Kontroller registreringen mod udrulningen

Sammenlign de fire indsamlede værdier: certifikatnummeret, modulversionen fra buildet, de gældende driftsbetingelser og den aktuelle status. Enhver uoverensstemmelse er en konstatering, og konstateringen hører i udrulningsregistreringen, ikke i en slide.

Opbevar beviset sammen med buildet, inklusive datoen og personen, der kontrollerede det. Én mappe pr. udgivelse er nok.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Hold også påstanden inden for sin grænse. Modulvalidering siger intet om VPN'ens protokolhåndtering, dens autorisationsbeslutninger eller dens logningspolitik. Det er konkret bevis om én defineret kryptografisk komponent, og at behandle det som en produktkarakter er, hvordan en compliance-mappe ender med at beskrive noget, ingen udrullede.