Kontrolearje it CMVP-sertifikaat efter de FIPS-bewearing fan in VPN

Siden fan leveransiers dy't FIPS validated sizze, binne gjin bewiis dat jo yn in dosier lizze kinne. It bewiis is in sertifikaatnûmer, in modulenamme, in falidearre ferzje en de bedriuwsbetingsten dy't deroan ferbûn binne, en dy moatte oerienkomme mei de build dy't jo útbringe. De NIST CMVP FAQ is dúdlik oer it ferskil tusken in produkt dat kompatibiliteit beweart en in module dy't falidearre is. Wurkje de fjouwer stappen hjirûnder yn folchoarder ôf en bewarje it fêstlizzing by de útrulling.

Stap 1: helje it sertifikaatnûmer, net it badge

Freegje de leveransier om it CMVP-sertifikaatnûmer dat de kryptografyske module yn it produkt beslacht dat jo draaie wolle. In sertifikaatnûmer is in konkreet, kontrolearber objekt, wylst in badge marketing is. As it antwurd in algoritme beskriuwt ynstee fan in module, hat it antwurd in oare fraach beantwurde. Stean noch ien kear oan op it nûmer ynstee fan in PDF fan in badge te akseptearjen. It fêstlizzing efter it nûmer is wat in auditor folgje kin.

Sykje dat nûmer dan op yn it offisjele sykjen fan falidearre modules en lês it fêstlizzing, net in gearfetting derfan. It fêstlizzing neamt de leveransier, de module, de falidearre ferzje en de status, en it ferwiist nei it befeiligingsbeliedsdokumint dat beskriuwt hoe't de module wurkje moat.

Skriuw dy fiif fjilden op, want de folgjende stap ferliket se mei de build. Ien kolom yn in rekkenblêd is genôch.

Stap 2: keppelje de moduleferzje oan de build

In VPN-klantferzje en in ynboude moduleferzje diele selden itselde nûmer, en dat is normaal. Wat fan belang is, is oft de moduleferzje yn jo build yn it falidearre fêstlizzing stiet. In update kin de module feroarje sûnder de produktnamme te feroarjen, wat de útrulling stil bûten de falidearre konfiguraasje skoot.

Freegje hokker komponint de module brûkt en hoe't de goedkarde modus yn de stipe konfiguraasje keazen wurdt. In build dy't yn in net-goedkarde modus draaie kin, is net itselde bewiis as in build dy't foar de goedkarde konfigurearre is.

Lês de lokale build, sadat de ferliking it artefakt brûkt ynstee fan de downloadside. De opdrachten hjirûnder printsje krekt dat.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

As de module in oare ferzje as it sertifikaat rapportearret, is de bewearing ôfdreaun en moat it fêstlizzing bywurke wurde foardat immen eat ûndertekenet.

Stap 3: lês de bedriuwsbetingsten

It sertifikaat draacht betingsten dy't de omjouwing beskriuwe dy't de falidaasje beslacht. Dy betingsten kinne it platfoarm, de konfiguraasje, de tastiene kaaimaten en de tsjinsten neame dy't beheind wurde moatte. In gewoane ynstallaasje dy't se negearret is in útrulling bûten de falidearre grins, sels as de binêre itselde is. Dêrom is it befeiligingsbeliedsdokumint like wichtich as it sertifikaatnûmer.

Hâld de begelieding fan de leveransier njonken it sertifikaat, want dy ferklearret hokker ynstellingen de goedkarde modus kieze en hokker it produkt der bûten bringe.

As de betingsten yn jo omjouwing net foldien wurde kinne, is de earlike útspraak dat dizze útrulling bûten de falidearre konfiguraasje stiet. It neamen fan de betingst dy't net foldien wurde kin, makket fan dy útspraak eat dat in team reparearje of akseptearje kin.

Stap 4: befêstigje de hjoeddeiske status

It CMVP-fêstlizzing draacht in status, en de status is net permanint. De FAQ fan NIST beskriuwt de FIPS 140-2-oergangsdatums yn 2026, wêrnei't allinnich FIPS 140-3-falidaasjes op 'e aktive list steane. In sertifikaat dat aktyf wie doe't de oankeap goedkard waard, kin hjoed histoarysk wêze.

Histoarysk en ynlutsen binne ferskillende tastannen, en elk hat syn eigen betsjutting foar oanbesteging. Kontrolearje it libbene fêstlizzing ynstee fan in skermôfdruk út 'e projektmap, en notearje de datum wêrop jo kontrolearre hawwe.

Freegje dan de eigner fan neilibjen of oanbesteging hokker status har eask akseptearret, want dat is in beliedsbeslút en gjin technyske befining. Registrearje it antwurd mei in datum.

Kontrolearje it fêstlizzing tsjin de útrulling

Ferlykje de fjouwer sammele wearden: it sertifikaatnûmer, de moduleferzje út de build, de jildende bedriuwsbetingsten en de aktuele status. Elke ôfwiking is in befining, en de befining heart yn it útrullingsfêstlizzing, net op in dia.

Bewarje it bewiis by de build, ynklusyf de datum en de persoan dy't it kontrolearre hat. Ien map per útjefte is genôch.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Hâld de bewearing ek binnen syn grins. Modulefalidaasje seit neat oer de protokolôfhanneling fan 'e VPN, syn autorisaasjebesluten of syn logbelied. It is konkreet bewiis oer ien definiearre kryptografyske komponint, en it as in produktsskoar behannelje is hoe't in neilibjendossier eat beskriuwt dat nimmen útbroid hat.