Provjerite CMVP certifikat koji stoji iza FIPS tvrdnje VPN-a

Stranice dobavljača na kojima piše FIPS validated nisu dokaz koji možete pohraniti u spis. Dokaz je broj certifikata, naziv modula, potvrđena verzija i uvjeti rada koji su uz njega vezani, a oni se moraju podudarati s buildom koji postavljate. NIST CMVP FAQ jasno opisuje razliku između proizvoda koji tvrdi kompatibilnost i modula koji je potvrđen. Prođite četiri koraka u nastavku redom i čuvajte zapis uz implementaciju.

Korak 1: pribavite broj certifikata, a ne značku

Zatražite od dobavljača broj CMVP certifikata koji pokriva kriptografski modul u proizvodu koji namjeravate pokrenuti. Broj certifikata je konkretan objekt koji se može provjeriti, dok je značka marketing. Ako odgovor opisuje algoritam umjesto modula, odgovorio je na drugo pitanje. Inzistirajte još jednom na broju umjesto da prihvatite PDF značke. Zapis iza broja je ono što revizor može slijediti.

Zatim pronađite taj broj u službenom pretraživanju potvrđenih modula i pročitajte zapis, a ne njegov sažetak. Zapis navodi dobavljača, modul, potvrđenu verziju i status te povezuje dokument sigurnosne politike koji opisuje kako modul treba raditi.

Zapišite tih pet polja jer ih sljedeći korak uspoređuje s buildom. Dovoljan je jedan stupac u tablici.

Korak 2: uskladite verziju modula s buildom

Verzija VPN klijenta i verzija ugrađenog modula rijetko dijele isti broj i to je uobičajeno. Bitno je pojavljuje li se verzija modula iz vašeg builda u potvrđenom zapisu. Ažuriranje može promijeniti modul bez promjene naziva proizvoda, što tiho pomiče implementaciju izvan potvrđene konfiguracije.

Pitajte koja komponenta koristi modul i kako se odobreni način rada odabire u podržanoj konfiguraciji. Build koji može raditi u neodobrenom načinu nije isti dokaz kao build konfiguriran za odobreni način.

Pročitajte lokalni build kako bi usporedba koristila artefakt, a ne stranicu za preuzimanje. Naredbe u nastavku ispisuju upravo to.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Kada modul prijavi drugu verziju od certifikata, tvrdnja je skrenula i zapis treba ažurirati prije nego što bilo tko nešto potpiše.

Korak 3: pročitajte uvjete rada

Certifikat nosi uvjete koji opisuju okruženje koje potvrda pokriva. Ti uvjeti mogu navesti platformu, konfiguraciju, dopuštene veličine ključeva i usluge koje treba ograničiti. Uobičajena instalacija koja ih zanemaruje implementacija je izvan potvrđene granice, čak i kada je binarna datoteka identična. Zato je dokument sigurnosne politike jednako važan kao broj certifikata.

Držite upute dobavljača uz certifikat jer objašnjavaju koje postavke odabiru odobreni način, a koje proizvod izvode iz njega.

Ako se uvjeti ne mogu ispuniti u vašem okruženju, iskrena izjava je da ova implementacija stoji izvan potvrđene konfiguracije. Imenovanje uvjeta koji se ne može ispuniti pretvara tu izjavu u nešto što tim može ispraviti ili prihvatiti.

Korak 4: potvrdite današnji status

CMVP zapis nosi status, a status nije trajan. NIST FAQ opisuje datume prijelaza FIPS 140-2 tijekom 2026., nakon čega na aktivnom popisu ostaju samo potvrde FIPS 140-3. Certifikat koji je bio aktivan kada je kupnja odobrena danas može biti povijesni.

Povijesni i opozvani različita su stanja i svako ima svoje značenje za nabavu. Provjerite živi zapis, a ne snimku zaslona iz mape projekta, i zabilježite datum provjere.

Zatim pitajte vlasnika usklađenosti ili nabave koji status prihvaća njihov zahtjev jer je to politička odluka, a ne tehnički nalaz. Zapišite odgovor s datumom.

Provjerite zapis prema implementaciji

Usporedite četiri prikupljene vrijednosti: broj certifikata, verziju modula iz builda, uvjete rada na snazi i trenutačni status. Svako nepodudaranje je nalaz, a nalaz pripada zapisu implementacije, a ne slajdu.

Čuvajte dokaz uz build, uključujući datum i osobu koja je provjerila. Jedan direktorij po izdanju dovoljan je.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Držite tvrdnju i unutar njezine granice. Potvrda modula ne govori ništa o rukovanju protokolima VPN-a, njegovim odlukama o autorizaciji ni politici bilježenja. To je konkretan dokaz o jednoj definiranoj kriptografskoj komponenti, a tretiranje toga kao ocjene proizvoda način je na koji spis usklađenosti završi opisujući nešto što nitko nije postavio.