Kontrollige VPN-i FIPS-väite taga olevat CMVP-sertifikaati

Müüja lehed, mis ütlevad FIPS validated, ei ole tõend, mille saaksite toimikusse panna. Tõendiks on sertifikaadi number, mooduli nimi, valideeritud versioon ja sellega seotud töötingimused, ning need peavad vastama paigaldatavale buildile. NIST CMVP FAQ ütleb selgelt, mis vahe on tootel, mis väidab ühilduvust, ja moodulil, mis on valideeritud. Käige allolevad neli sammu järjekorras läbi ja hoidke kirje juurutusega koos.

Samm 1: hankige sertifikaadi number, mitte märk

Küsige müüjalt CMVP-sertifikaadi numbrit, mis katab selle toote krüptograafilist moodulit, mida kavatsete käitada. Sertifikaadi number on konkreetne ja kontrollitav objekt, märk on turundus. Kui vastus kirjeldab algoritmi, mitte moodulit, on vastus vastanud teisele küsimusele. Nõudke veel kord numbrit, selle asemel et leppida märgi PDF-iga. Numbri taga olev kirje on see, mida audiitor saab jälgida.

Seejärel otsige see number ametlikust valideeritud moodulite otsingust ja lugege kirjet, mitte selle kokkuvõtet. Kirje nimetab müüja, mooduli, valideeritud versiooni ja oleku ning viitab turbepoliitika dokumendile, mis kirjeldab, kuidas moodul peaks töötama.

Kirjutage need viis välja üles, sest järgmine samm võrdleb neid buildiga. Üks veerg arvutustabelis on piisav.

Samm 2: sobitage mooduli versioon buildiga

VPN-kliendi versioon ja põimitud mooduli versioon jagavad harva sama numbrit ja see on normaalne. Oluline on, kas teie buildis olev mooduli versioon esineb valideeritud kirjes. Uuendus võib moodulit muuta ilma tootenime muutmata, mis liigutab juurutuse vaikselt valideeritud konfiguratsioonist välja.

Küsige, milline komponent moodulit kasutab ja kuidas heakskiidetud režiim toetatud konfiguratsioonis valitakse. Build, mis suudab töötada heakskiitmata režiimis, ei ole sama tõend kui heakskiidetud režiimi jaoks konfigureeritud build.

Lugege kohalikku buildi, et võrdlus kasutaks artefakti, mitte allalaadimislehte. Allolevad käsud trükivad täpselt selle.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Kui moodul teatab sertifikaadist erinevat versiooni, on väide triivinud ja kirje tuleb enne allkirjastamist uuendada.

Samm 3: lugege töötingimusi

Sertifikaat kannab tingimusi, mis kirjeldavad keskkonda, mida valideerimine katab. Need tingimused võivad nimetada platvormi, konfiguratsiooni, lubatud võtmepikkusi ja teenuseid, mida tuleb piirata. Tavaline paigaldus, mis neid eirab, on juurutus väljaspool valideeritud piiri, isegi kui binaarfail on identne. Seetõttu on turbepoliitika dokument sama oluline kui sertifikaadi number.

Hoidke müüja juhised sertifikaadi kõrval, sest need selgitavad, millised seaded valivad heakskiidetud režiimi ja millised viivad toote sellest välja.

Kui tingimusi ei ole teie keskkonnas võimalik täita, on aus väide, et see juurutus asub väljaspool valideeritud konfiguratsiooni. Tingimuse nimetamine, mida ei saa täita, muudab selle väite millekski, mida meeskond saab parandada või aktsepteerida.

Samm 4: kinnitage tänane olek

CMVP kirjel on olek ja olek ei ole püsiv. NIST-i FAQ kirjeldab FIPS 140-2 üleminekukuupäevi 2026. aastal, pärast mida jäävad aktiivsesse nimekirja ainult FIPS 140-3 valideerimised. Sertifikaat, mis oli ostu kinnitamise ajal aktiivne, võib täna olla ajalooline.

Ajalooline ja tühistatud on erinevad olekud ja kummalgi on hankimise jaoks oma tähendus. Kontrollige elavat kirjet, mitte projektikaustas olevat ekraanipilti, ja märkige kontrollimise kuupäev.

Seejärel küsige vastavus- või hankeomanikult, millist olekut nende nõue aktsepteerib, sest see on poliitikaotsus, mitte tehniline leid. Kirjutage vastus kuupäevaga üles.

Kontrollige kirjet juurutuse vastu

Võrrelge nelja kogutud väärtust: sertifikaadi number, buildist saadud mooduli versioon, kehtivad töötingimused ja praegune olek. Iga lahknevus on leid ja leid kuulub juurutuskirjesse, mitte slaidile.

Hoidke tõend buildi juures, sealhulgas kuupäev ja kontrollija. Üks kataloog väljalaske kohta on piisav.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Hoidke väidet ka selle piirides. Mooduli valideerimine ei ütle midagi VPN-i protokollikäsitluse, autoriseerimisotsuste ega logimispoliitika kohta. See on konkreetne tõend ühe määratletud krüptograafilise komponendi kohta ja selle tooteskooriks pidamine on viis, kuidas vastavusfail hakkab kirjeldama midagi, mida keegi ei juurutanud.