Periksa sertifikat CMVP di balik klaim FIPS sebuah VPN

Halaman vendor yang menyatakan FIPS validated bukanlah bukti yang bisa Anda arsipkan. Buktinya adalah nomor sertifikat, nama modul, versi tervalidasi, dan kondisi operasi yang melekat padanya, dan semuanya harus cocok dengan build yang Anda terapkan. FAQ NIST CMVP tegas soal perbedaan antara produk yang mengklaim kompatibilitas dan modul yang telah divalidasi. Jalankan empat langkah di bawah secara berurutan dan simpan catatannya bersama penerapan.

Langkah 1: dapatkan nomor sertifikatnya, bukan lencananya

Minta vendor nomor sertifikat CMVP yang mencakup modul kriptografi dalam produk yang hendak Anda jalankan. Nomor sertifikat adalah objek konkret yang bisa diperiksa, sedangkan lencana adalah pemasaran. Jika jawabannya menjelaskan algoritme alih-alih modul, jawaban itu menjawab pertanyaan lain. Desak sekali lagi untuk nomornya daripada menerima PDF lencana. Catatan di balik nomor itulah yang bisa ditelusuri auditor.

Lalu cari nomor itu di pencarian resmi modul tervalidasi dan baca catatannya, bukan ringkasannya. Catatan itu menyebut vendor, modul, versi tervalidasi, dan status, serta menautkan dokumen kebijakan keamanan yang menjelaskan cara modul seharusnya beroperasi.

Tuliskan kelima kolom itu, karena langkah berikutnya membandingkannya dengan build. Satu kolom di lembar kerja sudah cukup.

Langkah 2: cocokkan versi modul dengan build

Versi klien VPN dan versi modul yang tertanam jarang berbagi nomor yang sama, dan itu normal. Yang penting adalah apakah versi modul di dalam build Anda muncul di catatan tervalidasi. Pembaruan dapat mengubah modul tanpa mengubah nama produk, yang diam-diam menggeser penerapan ke luar konfigurasi tervalidasi.

Tanyakan komponen mana yang memakai modul itu dan bagaimana mode yang disetujui dipilih dalam konfigurasi yang didukung. Build yang dapat berjalan dalam mode tidak disetujui bukan bukti yang sama dengan build yang dikonfigurasi untuk mode yang disetujui.

Baca build lokal, agar perbandingan memakai artefaknya, bukan halaman unduhan. Perintah di bawah mencetak tepat itu.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Ketika modul melaporkan versi berbeda dari sertifikat, klaimnya sudah bergeser dan catatannya perlu diperbarui sebelum ada yang menandatangani apa pun.

Langkah 3: baca kondisi operasinya

Sertifikat membawa kondisi yang menjelaskan lingkungan yang dicakup validasi. Kondisi itu dapat menyebut platform, konfigurasi, ukuran kunci yang diizinkan, dan layanan yang harus dibatasi. Instalasi biasa yang mengabaikannya adalah penerapan di luar batas tervalidasi, bahkan ketika binernya identik. Karena itu dokumen kebijakan keamanan sama pentingnya dengan nomor sertifikat.

Simpan panduan vendor di samping sertifikat, karena panduan itu menjelaskan pengaturan mana yang memilih mode disetujui dan mana yang membawa produk keluar darinya.

Jika kondisi itu tidak dapat dipenuhi di lingkungan Anda, pernyataan yang jujur adalah bahwa penerapan ini berada di luar konfigurasi tervalidasi. Menyebut kondisi yang tak dapat dipenuhi mengubah pernyataan itu menjadi sesuatu yang bisa tim perbaiki atau terima.

Langkah 4: pastikan status hari ini

Catatan CMVP membawa status, dan status itu tidak permanen. FAQ NIST menjelaskan tanggal transisi FIPS 140-2 pada 2026, setelah itu hanya validasi FIPS 140-3 yang tersisa di daftar aktif. Sertifikat yang aktif saat pembelian disetujui bisa jadi bersifat historis hari ini.

Historis dan dicabut adalah keadaan berbeda, dan masing-masing punya arti sendiri bagi pengadaan. Periksa catatan yang hidup, bukan tangkapan layar dari folder proyek, dan catat tanggal pemeriksaannya.

Lalu tanyakan kepada pemilik kepatuhan atau pengadaan status mana yang diterima oleh persyaratan mereka, karena itu keputusan kebijakan, bukan temuan teknis. Catat jawabannya beserta tanggal.

Periksa catatan terhadap penerapan

Bandingkan keempat nilai yang dikumpulkan: nomor sertifikat, versi modul dari build, kondisi operasi yang berlaku, dan status saat ini. Ketidakcocokan apa pun adalah temuan, dan temuan itu masuk ke catatan penerapan, bukan ke slide.

Simpan buktinya bersama build, termasuk tanggal dan orang yang memeriksanya. Satu direktori per rilis sudah cukup.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Jaga juga klaim itu di dalam batasnya. Validasi modul tidak mengatakan apa pun tentang penanganan protokol VPN, keputusan otorisasinya, atau kebijakan pencatatannya. Itu bukti spesifik tentang satu komponen kriptografi yang terdefinisi, dan memperlakukannya sebagai skor produk adalah cara berkas kepatuhan berakhir dengan menggambarkan sesuatu yang tak pernah diterapkan siapa pun.