گواهی CMVP پشت ادعای FIPS یک VPN را بررسی کنید

صفحه‌های فروشندگانی که می‌گویند FIPS validated است، مدرکی نیست که بتوانید بایگانی کنید. مدرک عبارت است از شماره گواهی، نام ماژول، نسخه تأییدشده و شرایط عملیاتی پیوست آن، و این‌ها باید با بیلدی که مستقر می‌کنید مطابقت داشته باشند. پرسش‌های متداول NIST CMVP درباره تفاوت میان محصولی که ادعای سازگاری می‌کند و ماژولی که تأیید شده، صریح است. چهار مرحله زیر را به ترتیب انجام دهید و سابقه را همراه با استقرار نگه دارید.

مرحله 1: شماره گواهی را بگیرید، نه نشان را

از فروشنده شماره گواهی CMVP را بخواهید که ماژول رمزنگاری محصولی را که قصد اجرای آن را دارید پوشش می‌دهد. شماره گواهی شیئی مشخص و قابل بررسی است، در حالی که نشان بازاریابی است. اگر پاسخ به جای ماژول یک الگوریتم را توصیف کند، پاسخ به پرسش دیگری جواب داده است. یک بار دیگر بر شماره پافشاری کنید، نه اینکه PDF یک نشان را بپذیرید. سابقه پشت شماره چیزی است که حسابرس می‌تواند دنبال کند.

سپس آن شماره را در جستجوی رسمی ماژول‌های تأییدشده پیدا کنید و خود سابقه را بخوانید، نه خلاصه‌ای از آن. سابقه فروشنده، ماژول، نسخه تأییدشده و وضعیت را نام می‌برد و به سند سیاست امنیتی پیوند می‌دهد که توضیح می‌دهد ماژول چگونه باید کار کند.

این پنج فیلد را بنویسید، چون مرحله بعد آن‌ها را با بیلد مقایسه می‌کند. یک ستون در صفحه‌گسترده کافی است.

مرحله 2: نسخه ماژول را با بیلد مطابقت دهید

نسخه کلاینت VPN و نسخه ماژول جاسازی‌شده به ندرت یک شماره مشترک دارند و این طبیعی است. آنچه مهم است این است که آیا نسخه ماژول داخل بیلد شما در سابقه تأییدشده آمده است یا نه. یک به‌روزرسانی می‌تواند ماژول را بدون تغییر نام محصول عوض کند، که بی‌صدا استقرار را از پیکربندی تأییدشده بیرون می‌برد.

بپرسید کدام مؤلفه از ماژول استفاده می‌کند و حالت تأییدشده در پیکربندی پشتیبانی‌شده چگونه انتخاب می‌شود. بیلدی که می‌تواند در حالت تأییدنشده اجرا شود، همان مدرک بیلدی نیست که برای حالت تأییدشده پیکربندی شده است.

بیلد محلی را بخوانید تا مقایسه از مصنوع واقعی استفاده کند نه از صفحه دانلود. دستورهای زیر دقیقاً همان را چاپ می‌کنند.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

وقتی ماژول نسخه‌ای متفاوت از گواهی گزارش می‌کند، ادعا منحرف شده و سابقه باید پیش از امضای هر چیزی به‌روز شود.

مرحله 3: شرایط عملیاتی را بخوانید

گواهی شرایطی را حمل می‌کند که محیط پوشش‌داده‌شده توسط تأیید را توصیف می‌کند. این شرایط می‌تواند پلتفرم، پیکربندی، اندازه‌های مجاز کلید و سرویس‌هایی را که باید محدود شوند نام ببرد. نصب معمولی که آن‌ها را نادیده می‌گیرد، استقراری بیرون از مرز تأییدشده است، حتی وقتی فایل دودویی یکسان است. به همین دلیل سند سیاست امنیتی به اندازه شماره گواهی مهم است.

راهنمای فروشنده را کنار گواهی نگه دارید، چون توضیح می‌دهد کدام تنظیمات حالت تأییدشده را انتخاب می‌کنند و کدام‌ها محصول را از آن بیرون می‌برند.

اگر شرایط در محیط شما قابل تحقق نیست، گفتار صادقانه این است که این استقرار بیرون از پیکربندی تأییدشده قرار دارد. نام‌بردن از شرطی که قابل تحقق نیست، آن گفتار را به چیزی تبدیل می‌کند که تیم می‌تواند اصلاح یا بپذیرد.

مرحله 4: وضعیت امروز را تأیید کنید

سابقه CMVP وضعیتی دارد و وضعیت دائمی نیست. پرسش‌های متداول NIST تاریخ‌های گذار FIPS 140-2 را در 2026 توصیف می‌کند، که پس از آن فقط تأییدهای FIPS 140-3 در فهرست فعال می‌مانند. گواهی‌ای که هنگام تصویب خرید فعال بود، امروز می‌تواند تاریخی باشد.

تاریخی و لغوشده دو وضعیت متفاوت‌اند و هر یک معنای خود را برای تأمین دارد. سابقه زنده را بررسی کنید نه تصویر صفحه از پوشه پروژه، و تاریخ بررسی را یادداشت کنید.

سپس از مسئول انطباق یا تأمین بپرسید که الزام آن‌ها کدام وضعیت را می‌پذیرد، چون این تصمیم سیاستی است نه یافته فنی. پاسخ را با تاریخ ثبت کنید.

سابقه را با استقرار مقایسه کنید

چهار مقدار جمع‌آوری‌شده را مقایسه کنید: شماره گواهی، نسخه ماژول از بیلد، شرایط عملیاتی جاری و وضعیت کنونی. هر ناسازگاری یک یافته است و یافته جای آن در سابقه استقرار است نه در یک اسلاید.

مدرک را همراه بیلد نگه دارید، با تاریخ و شخصی که بررسی کرده است. یک پوشه برای هر انتشار کافی است.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

ادعا را نیز درون مرز خودش نگه دارید. تأیید ماژول هیچ چیزی درباره مدیریت پروتکل VPN، تصمیم‌های مجوزدهی یا سیاست گزارش‌گیری آن نمی‌گوید. این مدرکی مشخص درباره یک مؤلفه رمزنگاری تعریف‌شده است و برخورد با آن به‌عنوان امتیاز محصول همان چیزی است که پرونده انطباق را به توصیف چیزی می‌رساند که هیچ‌کس مستقر نکرده است.