VPNのFIPS主張の裏にあるCMVP証明書を確認する

FIPS validated と書かれたベンダーのページは、保管できる証拠ではありません。証拠は証明書番号、モジュール名、検証済みバージョン、そして付随する運用条件であり、これらは導入するビルドと一致しなければなりません。NIST CMVP のFAQは、互換性を主張する製品と検証されたモジュールの違いについて明確に述べています。以下の四つの手順を順番に実行し、記録は導入と一緒に保管してください。

手順 1: バッジではなく証明書番号を入手する

使用予定の製品にある暗号モジュールを対象とするCMVP証明書番号をベンダーに求めます。証明書番号は具体的で検証可能な対象ですが、バッジは販促物です。回答がモジュールではなくアルゴリズムを説明しているなら、別の問いに答えています。バッジのPDFを受け取るのではなく、番号をもう一度要求してください。番号の背後にある記録こそ、監査人が追えるものです。

次に、その番号を公式の検証済みモジュール検索で調べ、要約ではなく記録そのものを読みます。記録にはベンダー、モジュール、検証済みバージョン、ステータスが記載され、モジュールの動作方法を定めたセキュリティポリシー文書にリンクしています。

これら五つの項目を書き留めてください。次の手順でビルドと比較するからです。表計算の一列で十分です。

手順 2: モジュールのバージョンをビルドと突き合わせる

VPNクライアントのバージョンと組み込みモジュールのバージョンが同じ番号であることは稀で、それは正常です。重要なのは、ビルド内のモジュールのバージョンが検証済み記録に載っているかどうかです。更新は製品名を変えずにモジュールを変えることがあり、導入が静かに検証済み構成の外へ移ります。

どのコンポーネントがモジュールを使い、サポート構成で承認モードがどう選択されるかを尋ねてください。未承認モードで動作し得るビルドは、承認モード向けに構成されたビルドと同じ証拠にはなりません。

ローカルのビルドを読んでください。比較がダウンロードページではなく成果物を使うようにするためです。以下のコマンドはまさにそれを出力します。

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

モジュールが証明書と異なるバージョンを報告した場合、主張はずれており、誰かが署名する前に記録を更新する必要があります。

手順 3: 運用条件を読む

証明書には、検証が対象とする環境を記述した条件が付きます。その条件には、プラットフォーム、構成、許可される鍵長、制限すべきサービスが示されることがあります。それを無視した通常のインストールは、バイナリが同一であっても検証済み境界の外の導入です。だからこそセキュリティポリシー文書は証明書番号と同じくらい重要です。

ベンダーの指針を証明書のそばに置いてください。どの設定が承認モードを選び、どれが製品をその外に出すかを説明しているからです。

自社環境で条件を満たせない場合、正直な表現はこの導入が検証済み構成の外にある、というものです。満たせない条件を名指しすることで、その表現はチームが修正または受容できるものになります。

手順 4: 今日のステータスを確認する

CMVPの記録にはステータスがあり、ステータスは永久ではありません。NISTのFAQは2026年のFIPS 140-2の移行日を説明しており、その後アクティブな一覧に残るのはFIPS 140-3の検証のみです。購入承認時に有効だった証明書が、今日では履歴扱いになっていることがあります。

履歴と失効は異なる状態で、調達にとってそれぞれ意味があります。プロジェクトフォルダのスクリーンショットではなく、生きた記録を確認し、確認した日付を書き留めてください。

次に、コンプライアンスまたは調達の責任者に、要件がどのステータスを認めるかを尋ねてください。技術的な所見ではなく政策判断だからです。回答を日付とともに記録します。

記録を導入と照合する

集めた四つの値、すなわち証明書番号、ビルドから得たモジュールのバージョン、有効な運用条件、現在のステータスを比較します。不一致はすべて所見であり、所見はスライドではなく導入記録に残します。

証拠はビルドと一緒に保管し、日付と確認した人を含めます。リリースごとに一つのディレクトリで十分です。

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

主張はその境界の内側にも留めてください。モジュールの検証は、VPNのプロトコル処理、認可の判断、ログ方針について何も語りません。これは定義された一つの暗号コンポーネントに関する具体的な証拠であり、それを製品の点数として扱うと、コンプライアンス文書は誰も導入していないものを説明することになります。