Egiaztatu VPN baten FIPS baieztapenaren atzeko CMVP ziurtagiria

FIPS validated dioen hornitzaileen orriek ez dira artxiba daitekeen froga. Froga ziurtagiri-zenbaki bat, modulu-izen bat, baliozkotutako bertsio bat eta hari lotutako funtzionamendu-baldintzak dira, eta horiek hedatu behar duzun buildarekin bat etorri behar dute. NIST CMVP FAQ argia da bateragarritasuna aldarrikatzen duen produktuaren eta baliozkotutako moduluaren arteko desberdintasunaz. Egin beheko lau urratsak hurrenez hurren, eta gorde erregistroa hedapenarekin batera.

1. urratsa: lortu ziurtagiri-zenbakia, ez ikurra

Eskatu hornitzaileari exekutatu nahi duzun produktuko modulu kriptografikoa estaltzen duen CMVP ziurtagiri-zenbakia. Ziurtagiri-zenbakia objektu zehatz eta egiaztagarria da, ikurra berriz marketina. Erantzunak moduluaren ordez algoritmo bat deskribatzen badu, beste galdera bati erantzun dio. Egin presio beste behin zenbakiaren alde, ikur baten PDFa onartu ordez. Zenbakiaren atzeko erregistroa da auditor batek jarrai dezakeena.

Ondoren bilatu zenbaki hori baliozkotutako moduluen bilatzaile ofizialean eta irakurri erregistroa, ez haren laburpena. Erregistroak hornitzailea, modulua, baliozkotutako bertsioa eta egoera aipatzen ditu, eta moduluak nola funtzionatu behar duen deskribatzen duen segurtasun-politikaren dokumentua estekatzen du.

Idatzi bost eremu horiek, hurrengo urratsak buildarekin alderatzen baititu. Kalkulu-orri bateko zutabe batek nahikoa du.

2. urratsa: egokitu moduluaren bertsioa buildarekin

VPN bezero baten bertsioak eta txertatutako modulu baten bertsioak nekez partekatzen dute zenbaki bera, eta hori normala da. Garrantzitsua da zure buildeko moduluaren bertsioa baliozkotutako erregistroan agertzen den ala ez. Eguneraketak modulua alda dezake produktuaren izena aldatu gabe, eta horrek isilka eramaten du hedapena baliozkotutako konfiguraziotik kanpora.

Galdetu zein komponentek erabiltzen duen modulua eta nola aukeratzen den onartutako modua onartutako konfigurazioan. Onartu gabeko moduan exekuta daitekeen build bat ez da onartutako modurako konfiguratutako build baten froga bera.

Irakurri tokiko builda, konparazioak artefaktua erabil dezan deskarga-orria ordez. Beheko komandoek zehazki hori inprimatzen dute.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Moduluak ziurtagiriaz bestelako bertsio bat jakinarazten duenean, baieztapena desbideratu da eta erregistroa eguneratu behar da inork ezer sinatu aurretik.

3. urratsa: irakurri funtzionamendu-baldintzak

Ziurtagiriak baliozkotzeak estaltzen duen ingurunea deskribatzen duten baldintzak dakartza. Baldintza horiek plataforma, konfigurazioa, baimendutako gako-tamainak eta mugatu beharreko zerbitzuak aipa ditzakete. Haiek alde batera uzten dituen instalazio arrunta baliozkotutako mugatik kanpoko hedapena da, binarioa berbera denean ere. Horregatik segurtasun-politikaren dokumentua bezain garrantzitsua da ziurtagiri-zenbakia.

Eduki hornitzailearen gida ziurtagiriaren ondoan, onartutako modua zein ezarpenek hautatzen duten eta zeintzuek produktua hortik ateratzen duten azaltzen baitu.

Baldintzak zure ingurunean bete ezin badira, adierazpen zintzoa da hedapen hau baliozkotutako konfiguraziotik kanpo dagoela. Bete ezin den baldintzari izena emateak adierazpen hori talde batek konpondu edo onar dezakeen zerbait bihurtzen du.

4. urratsa: berretsi gaurko egoera

CMVP erregistroak egoera bat darama, eta egoera ez da betiko. NISTen FAQk FIPS 140-2ren trantsizio-datak 2026an deskribatzen ditu, eta ondoren FIPS 140-3 baliozkotzeak soilik geratzen dira zerrenda aktiboan. Erosketa onartu zenean aktiboa zen ziurtagiri bat historikoa izan daiteke gaur egun.

Historikoa eta errebokatua egoera desberdinak dira, eta bakoitzak bere esanahia du erosketa egiteko. Egiaztatu erregistro bizia, eta ez proiektu-karpetako pantaila-argazkia, eta idatzi egiaztatu duzun data.

Ondoren galdetu betetze- edo erosketa-arduradunari beren eskakizunak zein egoera onartzen duen, erabaki politikoa baita, eta ez aurkikuntza teknikoa. Erregistratu erantzuna datarekin.

Egiaztatu erregistroa hedapenaren aurka

Alderatu bildu dituzun lau balioak: ziurtagiri-zenbakia, buildeko moduluaren bertsioa, indarrean dauden funtzionamendu-baldintzak eta uneko egoera. Desegokitasun oro aurkikuntza da, eta aurkikuntza hedapen-erregistroan dagokio, ez diapositiba batean.

Gorde froga buildarekin, data eta egiaztatu zuen pertsona barne. Bertsio bakoitzeko karpeta bat nahikoa da.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Eduki baieztapena bere mugen barruan ere. Moduluaren baliozkotzeak ez du ezer esaten VPNaren protokolo-kudeaketaz, haren baimen-erabakiez edo haren erregistratze-politikaz. Osagai kriptografiko jakin bati buruzko froga zehatza da, eta produktu-puntuazio gisa hartzea da betetze-espediente bat inork hedatu ez zuen zerbait deskribatzen amaitzeko modua.