Comproba o certificado CMVP detrás da afirmación FIPS dunha VPN

As páxinas de provedores que din FIPS validated non son unha proba que poidas arquivar. A proba é un número de certificado, un nome de módulo, unha versión validada e as condicións de funcionamento asociadas, e todo iso debe coincidir coa compilación que despregas. As preguntas frecuentes do NIST CMVP son claras sobre a diferenza entre un produto que afirma compatibilidade e un módulo que se validou. Percorre os catro pasos seguintes en orde e garda o rexistro xunto ao despregamento.

Paso 1: obtén o número de certificado, non a insignia

Pide ao provedor o número de certificado CMVP que cobre o módulo criptográfico do produto que pensas executar. Un número de certificado é un obxecto concreto e verificable, mentres que unha insignia é marketing. Se a resposta describe un algoritmo en lugar dun módulo, respondeu a outra pregunta. Insiste unha vez máis no número en lugar de aceptar un PDF dunha insignia. O rexistro que hai detrás do número é o que un auditor pode seguir.

Despois busca ese número no buscador oficial de módulos validados e le o rexistro, non un resumo. O rexistro indica o provedor, o módulo, a versión validada e o estado, e liga o documento de política de seguridade que describe como debe funcionar o módulo.

Anota esos cinco campos, porque o paso seguinte compáraos coa compilación. Unha columna dunha folla de cálculo abonda.

Paso 2: fai coincidir a versión do módulo coa compilación

A versión dun cliente VPN e a dun módulo incorporado raramente comparten número, e iso é normal. O que importa é se a versión do módulo dentro da túa compilación aparece no rexistro validado. Unha actualización pode cambiar o módulo sen cambiar o nome do produto, o que despraza en silencio o despregamento fóra da configuración validada.

Pregunta que compoñente usa o módulo e como se selecciona o modo aprobado na configuración admitida. Unha compilación que pode executarse nun modo non aprobado non é a mesma proba que unha compilación configurada para o modo aprobado.

Le a compilación local, para que a comparación use o artefacto e non a páxina de descarga. Os comandos de abaixo imprimen exactamente iso.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Cando o módulo informa dunha versión distinta da do certificado, a afirmación desviouse e o rexistro debe actualizarse antes de que ninguén asine nada.

Paso 3: le as condicións de funcionamento

O certificado leva condicións que describen a contorna que cobre a validación. Esas condicións poden nomear a plataforma, a configuración, os tamaños de chave permitidos e os servizos que deben restrinxirse. Unha instalación corrente que as ignora é un despregamento fóra do límite validado, mesmo cando o binario é idéntico. Por iso o documento de política de seguridade importa tanto como o número de certificado.

Ten a guía do provedor xunto ao certificado, porque explica que axustes seleccionan o modo aprobado e cales sacan o produto del.

Se as condicións non se poden cumprir na túa contorna, a afirmación honesta é que este despregamento queda fóra da configuración validada. Nomear a condición que non se pode cumprir converte esa afirmación en algo que un equipo pode corrixir ou aceptar.

Paso 4: confirma o estado de hoxe

O rexistro CMVP leva un estado, e o estado non é permanente. As preguntas frecuentes do NIST describen as datas de transición de FIPS 140-2 en 2026, tras as cales só quedan validacións FIPS 140-3 na lista activa. Un certificado que estaba activo cando se aprobou a compra pode ser hoxe histórico.

Histórico e revogado son estados distintos, e cada un ten o seu propio significado para a compra. Comproba o rexistro vivo e non unha captura de pantalla do cartafol do proxecto, e anota a data en que o comprobaches.

Despois pregunta ao responsable de cumprimento ou de compras que estado acepta o seu requisito, porque é unha decisión de política e non un achado técnico. Rexistra a resposta con data.

Comproba o rexistro contra o despregamento

Compara os catro valores recompilados: o número de certificado, a versión do módulo da compilación, as condicións de funcionamento vixentes e o estado actual. Calquera desaxuste é un achado, e o achado pertence ao rexistro do despregamento, non a unha diapositiva.

Garda a proba coa compilación, incluídas a data e a persoa que o comprobou. Un directorio por versión abonda.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Mantén tamén a afirmación dentro do seu límite. A validación dun módulo non di nada sobre o tratamento de protocolos da VPN, as súas decisións de autorización nin a súa política de rexistro. É unha proba concreta sobre un compoñente criptográfico definido, e tratalo como unha puntuación de produto é como un expediente de cumprimento acaba describindo algo que ninguén despregou.