Ελέγξτε το πιστοποιητικό CMVP πίσω από τον ισχυρισμό FIPS ενός VPN

Οι σελίδες προμηθευτών που λένε FIPS validated δεν είναι αποδεικτικό στοιχείο που μπορείτε να αρχειοθετήσετε. Το αποδεικτικό είναι ένας αριθμός πιστοποιητικού, ένα όνομα module, μια επικυρωμένη έκδοση και οι συνθήκες λειτουργίας που συνδέονται με αυτό, και πρέπει να ταιριάζουν με το build που αναπτύσσετε. Το NIST CMVP FAQ είναι σαφές για τη διαφορά ανάμεσα σε ένα προϊόν που ισχυρίζεται συμβατότητα και σε ένα module που έχει επικυρωθεί. Εκτελέστε τα τέσσερα βήματα παρακάτω με τη σειρά και κρατήστε το αρχείο μαζί με την ανάπτυξη.

Βήμα 1: πάρτε τον αριθμό πιστοποιητικού, όχι το σήμα

Ζητήστε από τον προμηθευτή τον αριθμό πιστοποιητικού CMVP που καλύπτει το κρυπτογραφικό module στο προϊόν που σκοπεύετε να εκτελέσετε. Ο αριθμός πιστοποιητικού είναι συγκεκριμένο, ελέγξιμο αντικείμενο, ενώ το σήμα είναι μάρκετινγκ. Αν η απάντηση περιγράφει αλγόριθμο αντί για module, η απάντηση απάντησε άλλη ερώτηση. Επιμείνετε άλλη μία φορά για τον αριθμό αντί να δεχτείτε PDF ενός σήματος. Το αρχείο πίσω από τον αριθμό είναι αυτό που μπορεί να ακολουθήσει ένας ελεγκτής.

Έπειτα αναζητήστε αυτόν τον αριθμό στην επίσημη αναζήτηση επικυρωμένων module και διαβάστε την εγγραφή, όχι μια σύνοψή της. Η εγγραφή αναφέρει τον προμηθευτή, το module, την επικυρωμένη έκδοση και την κατάσταση, και συνδέει το έγγραφο πολιτικής ασφάλειας που περιγράφει πώς πρέπει να λειτουργεί το module.

Γράψτε αυτά τα πέντε πεδία, γιατί το επόμενο βήμα τα συγκρίνει με το build. Μια στήλη σε υπολογιστικό φύλλο αρκεί.

Βήμα 2: ταιριάξτε την έκδοση του module με το build

Η έκδοση ενός VPN client και η έκδοση ενός ενσωματωμένου module σπάνια μοιράζονται τον ίδιο αριθμό, και αυτό είναι φυσιολογικό. Το ζήτημα είναι αν η έκδοση του module μέσα στο build σας εμφανίζεται στην επικυρωμένη εγγραφή. Μια ενημέρωση μπορεί να αλλάξει το module χωρίς να αλλάξει το όνομα του προϊόντος, κάτι που μετακινεί ήσυχα την ανάπτυξη έξω από την επικυρωμένη διαμόρφωση.

Ρωτήστε ποιο στοιχείο χρησιμοποιεί το module και πώς επιλέγεται η εγκεκριμένη λειτουργία στη υποστηριζόμενη διαμόρφωση. Ένα build που μπορεί να τρέξει σε μη εγκεκριμένη λειτουργία δεν είναι το ίδιο αποδεικτικό με ένα build διαμορφωμένο για την εγκεκριμένη.

Διαβάστε το τοπικό build, ώστε η σύγκριση να χρησιμοποιεί το artifact και όχι τη σελίδα λήψης. Οι εντολές παρακάτω εκτυπώνουν ακριβώς αυτό.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Όταν το module αναφέρει διαφορετική έκδοση από το πιστοποιητικό, ο ισχυρισμός έχει μετατοπιστεί και η εγγραφή χρειάζεται ενημέρωση πριν υπογράψει κανείς οτιδήποτε.

Βήμα 3: διαβάστε τις συνθήκες λειτουργίας

Το πιστοποιητικό φέρει συνθήκες που περιγράφουν το περιβάλλον που καλύπτει η επικύρωση. Αυτές οι συνθήκες μπορεί να αναφέρουν την πλατφόρμα, τη διαμόρφωση, τα επιτρεπτά μεγέθη κλειδιών και τις υπηρεσίες που πρέπει να περιοριστούν. Μια συνηθισμένη εγκατάσταση που τις αγνοεί είναι ανάπτυξη έξω από το επικυρωμένο όριο, ακόμη και όταν το binary είναι το ίδιο. Γι' αυτό το έγγραφο πολιτικής ασφάλειας είναι εξίσου σημαντικό με τον αριθμό πιστοποιητικού.

Κρατήστε την καθοδήγηση του προμηθευτή δίπλα στο πιστοποιητικό, γιατί εξηγεί ποιες ρυθμίσεις επιλέγουν την εγκεκριμένη λειτουργία και ποιες βγάζουν το προϊόν έξω από αυτή.

Αν οι συνθήκες δεν μπορούν να εκπληρωθούν στο περιβάλλον σας, η ειλικρινής δήλωση είναι ότι αυτή η ανάπτυξη βρίσκεται έξω από την επικυρωμένη διαμόρφωση. Το να ονομάσετε τη συνθήκη που δεν μπορεί να εκπληρωθεί κάνει τη δήλωση κάτι που μια ομάδα μπορεί να διορθώσει ή να αποδεχτεί.

Βήμα 4: επιβεβαιώστε την κατάσταση σήμερα

Η εγγραφή CMVP φέρει κατάσταση, και η κατάσταση δεν είναι μόνιμη. Το FAQ του NIST περιγράφει τις ημερομηνίες μετάβασης του FIPS 140-2 το 2026, μετά τις οποίες στην ενεργή λίστα μένουν μόνο επικυρώσεις FIPS 140-3. Ένα πιστοποιητικό που ήταν ενεργό όταν εγκρίθηκε η αγορά μπορεί σήμερα να είναι ιστορικό.

Ιστορικό και ανακληθέν είναι διαφορετικές καταστάσεις, και καθεμία έχει τη δική της σημασία για τις προμήθειες. Ελέγξτε την ζωντανή εγγραφή και όχι ένα στιγμιότυπο οθόνης από τον φάκελο του έργου, και σημειώστε την ημερομηνία του ελέγχου.

Έπειτα ρωτήστε τον υπεύθυνο συμμόρφωσης ή προμηθειών ποια κατάσταση δέχεται η απαίτησή τους, γιατί αυτό είναι απόφαση πολιτικής και όχι τεχνικό εύρημα. Καταγράψτε την απάντηση με ημερομηνία.

Ελέγξτε την εγγραφή απέναντι στην ανάπτυξη

Συγκρίνετε τις τέσσερις τιμές που συλλέξατε: τον αριθμό πιστοποιητικού, την έκδοση του module από το build, τις συνθήκες λειτουργίας που ισχύουν και την τρέχουσα κατάσταση. Κάθε αναντιστοιχία είναι εύρημα, και το εύρημα ανήκει στο αρχείο ανάπτυξης και όχι σε διαφάνεια.

Αποθηκεύστε το αποδεικτικό μαζί με το build, μαζί με την ημερομηνία και το άτομο που το έλεγξε. Ένας κατάλογος ανά έκδοση αρκεί.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Κρατήστε τον ισχυρισμό και μέσα στα όριά του. Η επικύρωση module δεν λέει τίποτα για τον χειρισμό πρωτοκόλλων του VPN, τις αποφάσεις εξουσιοδότησης ή την πολιτική καταγραφής του. Είναι συγκεκριμένο αποδεικτικό για ένα καθορισμένο κρυπτογραφικό στοιχείο, και το να το αντιμετωπίζετε ως βαθμολογία προϊόντος είναι ο τρόπος με τον οποίο ένας φάκελος συμμόρφωσης καταλήγει να περιγράφει κάτι που κανείς δεν ανέπτυξε.