Verifica il certificato CMVP dietro l'affermazione FIPS di una VPN

Le pagine dei fornitori che dicono FIPS validated non sono una prova che puoi archiviare. La prova è un numero di certificato, un nome di modulo, una versione convalidata e le condizioni operative associate, e devono corrispondere alla build che distribuisci. Le FAQ del NIST CMVP sono chiare sulla differenza tra un prodotto che dichiara compatibilità e un modulo che è stato convalidato. Segui i quattro passaggi qui sotto in ordine e conserva il registro insieme alla distribuzione.

Passo 1: ottieni il numero di certificato, non il badge

Chiedi al fornitore il numero di certificato CMVP che copre il modulo crittografico nel prodotto che intendi eseguire. Un numero di certificato è un oggetto concreto e verificabile, mentre un badge è marketing. Se la risposta descrive un algoritmo invece di un modulo, ha risposto a un'altra domanda. Insisti ancora una volta per il numero invece di accettare un PDF di un badge. Il registro dietro il numero è ciò che un revisore può seguire.

Poi cerca quel numero nella ricerca ufficiale dei moduli convalidati e leggi il registro, non una sintesi. Il registro indica il fornitore, il modulo, la versione convalidata e lo stato, e collega il documento di politica di sicurezza che descrive come il modulo deve funzionare.

Annota quei cinque campi, perché il passo successivo li confronta con la build. Una colonna in un foglio di calcolo basta.

Passo 2: fai corrispondere la versione del modulo alla build

La versione di un client VPN e quella di un modulo incorporato raramente condividono lo stesso numero, ed è normale. Conta se la versione del modulo nella tua build compare nel registro convalidato. Un aggiornamento può cambiare il modulo senza cambiare il nome del prodotto, e sposta silenziosamente la distribuzione fuori dalla configurazione convalidata.

Chiedi quale componente usa il modulo e come si seleziona la modalità approvata nella configurazione supportata. Una build che può funzionare in una modalità non approvata non è la stessa prova di una build configurata per quella approvata.

Leggi la build locale, così il confronto usa l'artefatto e non la pagina di download. I comandi qui sotto stampano esattamente questo.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Quando il modulo riporta una versione diversa da quella del certificato, l'affermazione è scivolata e il registro va aggiornato prima che qualcuno firmi qualcosa.

Passo 3: leggi le condizioni operative

Il certificato porta condizioni che descrivono l'ambiente coperto dalla convalida. Queste condizioni possono indicare la piattaforma, la configurazione, le dimensioni di chiave consentite e i servizi da limitare. Un'installazione ordinaria che le ignora è una distribuzione fuori dal limite convalidato, anche quando il binario è identico. Per questo il documento di politica di sicurezza conta quanto il numero di certificato.

Tieni le indicazioni del fornitore accanto al certificato, perché spiegano quali impostazioni selezionano la modalità approvata e quali portano il prodotto fuori da essa.

Se le condizioni non possono essere soddisfatte nel tuo ambiente, l'affermazione onesta è che questa distribuzione sta fuori dalla configurazione convalidata. Nominare la condizione che non può essere soddisfatta trasforma quell'affermazione in qualcosa che un team può correggere o accettare.

Passo 4: conferma lo stato di oggi

Il registro CMVP porta uno stato, e lo stato non è permanente. Le FAQ del NIST descrivono le date di transizione di FIPS 140-2 nel 2026, dopo le quali restano nella lista attiva solo le convalide FIPS 140-3. Un certificato attivo quando l'acquisto è stato approvato può oggi essere storico.

Storico e revocato sono stati diversi, e ciascuno ha il proprio significato per l'approvvigionamento. Controlla il registro vivo e non uno screenshot della cartella del progetto, e annota la data del controllo.

Poi chiedi al responsabile conformità o acquisti quale stato accetta il loro requisito, perché è una decisione di politica e non un rilievo tecnico. Registra la risposta con una data.

Verifica il registro rispetto alla distribuzione

Confronta i quattro valori raccolti: il numero di certificato, la versione del modulo dalla build, le condizioni operative in vigore e lo stato attuale. Qualsiasi disallineamento è un rilievo, e il rilievo appartiene al registro della distribuzione, non a una diapositiva.

Conserva la prova con la build, inclusi la data e la persona che ha controllato. Una cartella per rilascio basta.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Tieni anche l'affermazione dentro il suo limite. La convalida di un modulo non dice nulla sulla gestione dei protocolli della VPN, sulle sue decisioni di autorizzazione né sulla sua politica di registrazione. È una prova specifica su un componente crittografico definito, e trattarla come un punteggio di prodotto è il modo in cui un fascicolo di conformità finisce per descrivere qualcosa che nessuno ha distribuito.