Tarkista VPN:n FIPS-väitteen takana oleva CMVP-sertifikaatti

Toimittajien sivut, joilla sanotaan FIPS validated, eivät ole todiste, jonka voisit arkistoida. Todiste on sertifikaattinumero, moduulin nimi, validoitu versio ja siihen liittyvät käyttöehdot, ja niiden on vastattava käyttöön otettavaa buildia. NIST CMVP FAQ on selkeä erosta tuotteen, joka väittää yhteensopivuutta, ja moduulin, joka on validoitu, välillä. Käy alla olevat neljä vaihetta järjestyksessä läpi ja säilytä merkintä käyttöönoton yhteydessä.

Vaihe 1: hanki sertifikaattinumero, ei merkkiä

Pyydä toimittajalta CMVP-sertifikaattinumero, joka kattaa sen tuotteen kryptografisen moduulin, jota aiot ajaa. Sertifikaattinumero on konkreettinen, tarkistettava objekti, kun taas merkki on markkinointia. Jos vastaus kuvaa algoritmin moduulin sijaan, vastaus on vastannut eri kysymykseen. Vaadi vielä kerran numeroa sen sijaan, että hyväksyisit merkin PDF:n. Numeron takana oleva merkintä on se, mitä auditoija voi seurata.

Etsi sitten numero virallisesta validoitujen moduulien hausta ja lue merkintä, älä sen tiivistelmää. Merkintä nimeää toimittajan, moduulin, validoidun version ja tilan, ja se linkittää turvallisuuskäytäntöasiakirjaan, joka kuvaa, miten moduulin on tarkoitus toimia.

Kirjoita ne viisi kenttää ylös, koska seuraava vaihe vertaa niitä buildiin. Yksi sarake taulukkolaskimessa riittää.

Vaihe 2: sovita moduulin versio buildiin

VPN-asiakasohjelman versio ja upotetun moduulin versio jakavat harvoin saman numeron, ja se on normaalia. Ratkaisevaa on, esiintyykö buildisi moduulin versio validoidussa merkinnässä. Päivitys voi muuttaa moduulia muuttamatta tuotteen nimeä, mikä siirtää käyttöönoton hiljaa validoidun kokoonpanon ulkopuolelle.

Kysy, mikä komponentti käyttää moduulia ja miten hyväksytty tila valitaan tuetussa kokoonpanossa. Build, joka voi toimia hyväksymättömässä tilassa, ei ole sama todiste kuin hyväksyttyyn tilaan konfiguroitu build.

Lue paikallinen build, jotta vertailu käyttää artefaktia eikä lataussivua. Alla olevat komennot tulostavat juuri sen.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Kun moduuli ilmoittaa sertifikaatista poikkeavan version, väite on ajautunut ja merkintä on päivitettävä ennen kuin kukaan allekirjoittaa mitään.

Vaihe 3: lue käyttöehdot

Sertifikaatti kantaa ehtoja, jotka kuvaavat ympäristön, jonka validointi kattaa. Nämä ehdot voivat nimetä alustan, kokoonpanon, sallitut avainten koot ja palvelut, joita on rajoitettava. Tavallinen asennus, joka jättää ne huomiotta, on käyttöönotto validoidun rajan ulkopuolella, vaikka binääri olisi sama. Siksi turvallisuuskäytäntöasiakirja on yhtä tärkeä kuin sertifikaattinumero.

Pidä toimittajan ohjeet sertifikaatin vieressä, koska ne selittävät, mitkä asetukset valitsevat hyväksytyn tilan ja mitkä vievät tuotteen sen ulkopuolelle.

Jos ehtoja ei voi täyttää ympäristössäsi, rehellinen lausuma on, että tämä käyttöönotto on validoidun kokoonpanon ulkopuolella. Sen ehdon nimeäminen, jota ei voi täyttää, tekee lausumasta jotain, jonka tiimi voi korjata tai hyväksyä.

Vaihe 4: vahvista nykyinen tila

CMVP-merkinnällä on tila, eikä tila ole pysyvä. NIST:n FAQ kuvaa FIPS 140-2:n siirtymäpäivät vuonna 2026, minkä jälkeen aktiivisella listalla ovat vain FIPS 140-3-validoinnit. Sertifikaatti, joka oli aktiivinen oston hyväksymisen aikaan, voi olla tänään historiallinen.

Historiallinen ja peruutettu ovat eri tiloja, ja kummallakin on oma merkityksensä hankinnalle. Tarkista elävä merkintä, älä projektikansion kuvakaappausta, ja merkitse tarkistuspäivä.

Kysy sitten vaatimustenmukaisuudesta tai hankinnasta vastaavalta, minkä tilan heidän vaatimuksensa hyväksyy, koska se on linjapäätös eikä tekninen havainto. Kirjaa vastaus päivämäärän kanssa.

Tarkista merkintä käyttöönottoa vasten

Vertaa neljää kerättyä arvoa: sertifikaattinumero, buildista saatu moduulin versio, voimassa olevat käyttöehdot ja nykyinen tila. Mikä tahansa poikkeama on havainto, ja havainto kuuluu käyttöönoton merkintään, ei diaan.

Säilytä todiste buildin kanssa, mukaan lukien päivämäärä ja tarkistaja. Yksi hakemisto julkaisua kohden riittää.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Pidä väite myös sen rajojen sisällä. Moduulin validointi ei kerro mitään VPN:n protokollankäsittelystä, sen valtuutuspäätöksistä tai sen lokituskäytännöstä. Se on konkreettinen todiste yhdestä määritellystä kryptografisesta komponentista, ja sen pitäminen tuotearviona on se tapa, jolla vaatimustenmukaisuustiedosto päätyy kuvaamaan jotain, jota kukaan ei ottanut käyttöön.