Ellenőrizze a VPN FIPS-állításai mögötti CMVP-tanúsítványt

Azok a szállítói oldalak, amelyeken FIPS validated áll, nem olyan bizonyíték, amelyet iratba tehetne. A bizonyíték egy tanúsítványszám, egy modulnév, egy validált verzió és a hozzá kapcsolódó üzemeltetési feltételek, és ezeknek meg kell felelniük a telepített buildnek. A NIST CMVP FAQ egyértelmű a kompatibilitást állító termék és a validált modul közötti különbségről. Végezze el az alábbi négy lépést sorrendben, és őrizze meg a feljegyzést a telepítés mellett.

1. lépés: a tanúsítványszámot kérje, ne a jelvényt

Kérje meg a szállítót annak a CMVP-tanúsítványnak a számára, amely a futtatni kívánt termék kriptográfiai modulját lefedi. A tanúsítványszám konkrét, ellenőrizhető objektum, a jelvény viszont marketing. Ha a válasz algoritmust ír le modul helyett, akkor más kérdésre válaszolt. Kérje ismét a számot, ahelyett hogy elfogadna egy jelvényt tartalmazó PDF-et. A szám mögötti feljegyzés az, amit egy auditor követni tud.

Ezután keressen rá a számra a validált modulok hivatalos keresőjében, és olvassa el a feljegyzést, ne annak összefoglalóját. A feljegyzés megnevezi a szállítót, a modult, a validált verziót és az állapotot, és hivatkozik a biztonsági irányelv dokumentumára, amely leírja, hogyan kell a modulnak működnie.

Írja le ezt az öt mezőt, mert a következő lépés összeveti őket a builddel. Egy oszlop egy táblázatban elegendő.

2. lépés: illessze a modul verzióját a buildhez

Egy VPN-kliens verziója és egy beágyazott modul verziója ritkán azonos szám, és ez normális. Az számít, hogy a buildben lévő modulverzió szerepel-e a validált feljegyzésben. Egy frissítés megváltoztathatja a modult a terméknév megváltoztatása nélkül, ami csendesen a validált konfiguráción kívülre tolja a telepítést.

Kérdezze meg, melyik komponens használja a modult, és hogyan választják ki a jóváhagyott módot a támogatott konfigurációban. Egy build, amely nem jóváhagyott módban is futhat, nem ugyanaz a bizonyíték, mint a jóváhagyott módra beállított build.

Olvassa ki a helyi buildet, hogy az összehasonlítás az artefaktumot használja, ne a letöltési oldalt. Az alábbi parancsok pontosan ezt írják ki.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Amikor a modul a tanúsítványtól eltérő verziót jelent, az állítás elcsúszott, és a feljegyzést frissíteni kell, mielőtt bárki bármit aláír.

3. lépés: olvassa el az üzemeltetési feltételeket

A tanúsítvány olyan feltételeket hordoz, amelyek a validációval lefedett környezetet írják le. Ezek a feltételek megnevezhetik a platformot, a konfigurációt, a megengedett kulcsméreteket és a korlátozandó szolgáltatásokat. Egy szokásos telepítés, amely figyelmen kívül hagyja őket, a validált határon kívüli telepítés, akkor is, ha a bináris azonos. Ezért a biztonsági irányelv dokumentuma ugyanolyan fontos, mint a tanúsítványszám.

Tartsa a szállítói útmutatást a tanúsítvány mellett, mert megmagyarázza, mely beállítások választják a jóváhagyott módot, és melyek viszik ki a terméket abból.

Ha a feltételek az Ön környezetében nem teljesíthetők, az őszinte állítás az, hogy ez a telepítés a validált konfiguráción kívül esik. A nem teljesíthető feltétel megnevezése olyasmivé teszi ezt az állítást, amit egy csapat javíthat vagy elfogadhat.

4. lépés: erősítse meg a mai állapotot

A CMVP-feljegyzésnek állapota van, és az állapot nem végleges. A NIST FAQ leírja a FIPS 140-2 átmeneti dátumait 2026-ban, amelyek után már csak FIPS 140-3 validációk maradnak az aktív listán. Egy tanúsítvány, amely a beszerzés jóváhagyásakor aktív volt, ma már történelmi lehet.

A történelmi és a visszavont különböző állapotok, és mindegyiknek megvan a maga jelentése a beszerzés szempontjából. A projektmappában lévő képernyőkép helyett az élő feljegyzést ellenőrizze, és jegyezze fel az ellenőrzés dátumát.

Ezután kérdezze meg a megfelelőségi vagy beszerzési felelőst, milyen állapotot fogad el a követelménye, mert ez politikai döntés, nem technikai megállapítás. Rögzítse a választ dátummal.

Ellenőrizze a feljegyzést a telepítéshez képest

Hasonlítsa össze a négy gyűjtött értéket: a tanúsítványszámot, a buildből származó modulverziót, a hatályos üzemeltetési feltételeket és a jelenlegi állapotot. Bármilyen eltérés megállapítás, és a megállapítás a telepítési feljegyzésbe tartozik, nem egy diára.

Őrizze a bizonyítékot a build mellett, beleértve a dátumot és az ellenőrző személyt. Kiadásonként egy könyvtár elegendő.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Tartsa az állítást a maga határain belül is. A modul validációja semmit nem mond a VPN protokollkezeléséről, engedélyezési döntéseiről vagy naplózási irányelvéről. Konkrét bizonyíték egy meghatározott kriptográfiai komponensről, és termékpontszámként kezelni az az út, amelyen egy megfelelőségi akta olyasmit kezd leírni, amit senki nem telepített.