Comprueba el certificado CMVP que hay detrás de la afirmación FIPS de una VPN

Las páginas de proveedores que dicen FIPS validated no son una prueba que puedas archivar. La prueba es un número de certificado, un nombre de módulo, una versión validada y las condiciones de funcionamiento asociadas, y todo ello debe coincidir con la compilación que despliegas. Las preguntas frecuentes del NIST CMVP son claras sobre la diferencia entre un producto que afirma compatibilidad y un módulo que se ha validado. Recorre los cuatro pasos siguientes en orden y guarda el registro junto al despliegue.

Paso 1: obtén el número de certificado, no la insignia

Pide al proveedor el número de certificado CMVP que cubre el módulo criptográfico del producto que piensas ejecutar. Un número de certificado es un objeto concreto y verificable, mientras que una insignia es marketing. Si la respuesta describe un algoritmo en lugar de un módulo, ha respondido a otra pregunta. Insiste una vez más en el número en lugar de aceptar un PDF de una insignia. El registro que hay detrás del número es lo que un auditor puede seguir.

Después busca ese número en el buscador oficial de módulos validados y lee el registro, no un resumen. El registro indica el proveedor, el módulo, la versión validada y el estado, y enlaza el documento de política de seguridad que describe cómo debe funcionar el módulo.

Anota esos cinco campos, porque el paso siguiente los compara con la compilación. Una columna de una hoja de cálculo basta.

Paso 2: haz coincidir la versión del módulo con la compilación

La versión de un cliente VPN y la de un módulo incrustado rara vez comparten número, y eso es normal. Lo que importa es si la versión del módulo dentro de tu compilación aparece en el registro validado. Una actualización puede cambiar el módulo sin cambiar el nombre del producto, lo que desplaza en silencio el despliegue fuera de la configuración validada.

Pregunta qué componente usa el módulo y cómo se selecciona el modo aprobado en la configuración admitida. Una compilación que puede ejecutarse en un modo no aprobado no es la misma prueba que una compilación configurada para el modo aprobado.

Lee la compilación local, para que la comparación use el artefacto y no la página de descarga. Los comandos de abajo imprimen exactamente eso.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Cuando el módulo informa de una versión distinta de la del certificado, la afirmación se ha desviado y el registro debe actualizarse antes de que nadie firme nada.

Paso 3: lee las condiciones de funcionamiento

El certificado lleva condiciones que describen el entorno que cubre la validación. Esas condiciones pueden nombrar la plataforma, la configuración, los tamaños de clave permitidos y los servicios que deben restringirse. Una instalación corriente que las ignora es un despliegue fuera del límite validado, incluso cuando el binario es idéntico. Por eso el documento de política de seguridad importa tanto como el número de certificado.

Ten la guía del proveedor junto al certificado, porque explica qué ajustes seleccionan el modo aprobado y cuáles sacan el producto de él.

Si las condiciones no pueden cumplirse en tu entorno, la afirmación honesta es que este despliegue queda fuera de la configuración validada. Nombrar la condición que no puede cumplirse convierte esa afirmación en algo que un equipo puede corregir o aceptar.

Paso 4: confirma el estado de hoy

El registro CMVP lleva un estado, y el estado no es permanente. Las preguntas frecuentes del NIST describen las fechas de transición de FIPS 140-2 en 2026, tras las cuales solo quedan validaciones FIPS 140-3 en la lista activa. Un certificado que estaba activo cuando se aprobó la compra puede ser hoy histórico.

Histórico y revocado son estados distintos, y cada uno tiene su propio significado para la compra. Comprueba el registro vivo y no una captura de pantalla de la carpeta del proyecto, y anota la fecha en que lo comprobaste.

Después pregunta al responsable de cumplimiento o de compras qué estado acepta su requisito, porque es una decisión de política y no un hallazgo técnico. Registra la respuesta con fecha.

Comprueba el registro contra el despliegue

Compara los cuatro valores recogidos: el número de certificado, la versión del módulo de la compilación, las condiciones de funcionamiento vigentes y el estado actual. Cualquier desajuste es un hallazgo, y el hallazgo pertenece al registro del despliegue, no a una diapositiva.

Guarda la prueba con la compilación, incluidos la fecha y la persona que lo comprobó. Un directorio por versión basta.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Mantén también la afirmación dentro de su límite. La validación de un módulo no dice nada sobre el tratamiento de protocolos de la VPN, sus decisiones de autorización ni su política de registro. Es una prueba concreta sobre un componente criptográfico definido, y tratarla como una puntuación de producto es como un expediente de cumplimiento acaba describiendo algo que nadie desplegó.