შეამოწმეთ CMVP სერტიფიკატი VPN-ის FIPS მტკიცების მიღმა

გვერდები, რომლებზეც წერია FIPS validated, არ არის მტკიცებულება, რომელსაც საქმეში ჩადებთ. მტკიცებულებაა სერტიფიკატის ნომერი, მოდულის სახელი, ვალიდირებული ვერსია და მასზე მიმაგრებული საოპერაციო პირობები, და ეს ყველაფერი უნდა შეესაბამებოდეს იმ ბილდს, რომელსაც აყენებთ. NIST CMVP FAQ ნათლად აღწერს განსხვავებას თავსებადობის მოთხოვნილ პროდუქტსა და ვალიდირებულ მოდულს შორის. შეასრულეთ ქვემოთ მოცემული ოთხი ნაბიჯი თანმიმდევრობით და ჩანაწერი შეინახეთ განლაგების გვერდით.

ნაბიჯი 1: აიღეთ სერტიფიკატის ნომერი და არა ნიშანი

მოსთხოვეთ მომწოდებელს CMVP სერტიფიკატის ნომერი, რომელიც ფარავს იმ პროდუქტის კრიპტოგრაფიულ მოდულს, რომლის გაშვებასაც აპირებთ. სერტიფიკატის ნომერი კონკრეტული, შემოწმებადი ობიექტია, ნიშანი კი მარკეტინგია. თუ პასუხი მოდულის ნაცვლად ალგორითმს აღწერს, პასუხი სხვა კითხვას გასცა. კიდევ ერთხელ დაჟინებით მოითხოვეთ ნომერი ნიშნის PDF-ის მიღების ნაცვლად. ნომრის მიღმა არსებული ჩანაწერია ის, რასაც აუდიტორი მიჰყვება.

შემდეგ მოძებნეთ ეს ნომერი ვალიდირებული მოდულების ოფიციალურ ძებნაში და წაიკითხეთ ჩანაწერი და არა მისი შეჯამება. ჩანაწერი მიუთითებს მომწოდებელს, მოდულს, ვალიდირებულ ვერსიას და სტატუსს, და აკავშირებს უსაფრთხოების პოლიტიკის დოკუმენტს, რომელიც აღწერს, როგორ უნდა მუშაობდეს მოდული.

ჩაწერეთ ეს ხუთი ველი, რადგან შემდეგი ნაბიჯი მათ ბილდს ადარებს. ცხრილში ერთი სვეტი საკმარისია.

ნაბიჯი 2: შეადარეთ მოდულის ვერსია ბილდს

VPN კლიენტის ვერსია და ჩაშენებული მოდულის ვერსია იშვიათად იზიარებს ერთსა და იმავე ნომერს და ეს ნორმალურია. მთავარია, ჩანს თუ არა თქვენს ბილდში მოდულის ვერსია ვალიდირებულ ჩანაწერში. განახლებამ შეიძლება შეცვალოს მოდული პროდუქტის სახელის შეცვლის გარეშე, რაც ჩუმად გამოიყვანს განლაგებას ვალიდირებული კონფიგურაციიდან.

იკითხეთ, რომელი კომპონენტი იყენებს მოდულს და როგორ ირჩევა დამტკიცებული რეჟიმი მხარდაჭერილ კონფიგურაციაში. ბილდი, რომელსაც შეუძლია არადამტკიცებულ რეჟიმში მუშაობა, არ არის იგივე მტკიცებულება, რაც დამტკიცებული რეჟიმისთვის კონფიგურირებული ბილდი.

წაიკითხეთ ლოკალური ბილდი, რომ შედარებამ გამოიყენოს არტეფაქტი და არა ჩამოტვირთვის გვერდი. ქვემოთ მოცემული ბრძანებები ზუსტად ამას ბეჭდავს.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

როცა მოდული სერტიფიკატისგან განსხვავებულ ვერსიას იტყობინება, მტკიცება გადახრილია და ჩანაწერი უნდა განახლდეს სანამ ვინმე რამეს მოაწერს ხელს.

ნაბიჯი 3: წაიკითხეთ საოპერაციო პირობები

სერტიფიკატი ატარებს პირობებს, რომლებიც აღწერს გარემოს, რომელსაც ვალიდაცია ფარავს. ეს პირობები შეიძლება მიუთითებდეს პლატფორმას, კონფიგურაციას, დაშვებულ გასაღების ზომებს და სერვისებს, რომლებიც უნდა შეიზღუდოს. ჩვეულებრივი ინსტალაცია, რომელიც მათ უგულებელყოფს, ვალიდირებული საზღვრის გარეთ განლაგებაა, მაშინაც კი, როცა ბინარული ფაილი იდენტურია. ამიტომ უსაფრთხოების პოლიტიკის დოკუმენტი ისეთივე მნიშვნელოვანია, როგორც სერტიფიკატის ნომერი.

მომწოდებლის მითითებები სერტიფიკატის გვერდით შეინახეთ, რადგან ის განმარტავს, რომელი პარამეტრები ირჩევს დამტკიცებულ რეჟიმს და რომელი გამოიყვანს პროდუქტს მისგან.

თუ პირობების დაკმაყოფილება თქვენს გარემოში შეუძლებელია, პატიოსანი განაცხადია, რომ ეს განლაგება ვალიდირებული კონფიგურაციის გარეთაა. იმ პირობის დასახელება, რომლის დაკმაყოფილებაც შეუძლებელია, ამ განაცხადს აქცევს რაღაცად, რისი გამოსწორებაც ან მიღებაც გუნდს შეუძლია.

ნაბიჯი 4: დაადასტურეთ დღევანდელი სტატუსი

CMVP ჩანაწერს აქვს სტატუსი და სტატუსი მუდმივი არ არის. NIST-ის FAQ აღწერს FIPS 140-2-ის გადასვლის თარიღებს 2026 წელს, რის შემდეგაც აქტიურ სიაში მხოლოდ FIPS 140-3 ვალიდაციები რჩება. სერტიფიკატი, რომელიც შესყიდვის დამტკიცებისას აქტიური იყო, დღეს შეიძლება ისტორიული იყოს.

ისტორიული და გაუქმებული სხვადასხვა მდგომარეობაა და თითოეულს თავისი მნიშვნელობა აქვს შესყიდვისთვის. შეამოწმეთ ცოცხალი ჩანაწერი და არა პროექტის საქაღალდიდან ეკრანის სურათი, და ჩაწერეთ შემოწმების თარიღი.

შემდეგ ჰკითხეთ შესაბამისობის ან შესყიდვის პასუხისმგებელს, რომელ სტატუსს იღებს მათი მოთხოვნა, რადგან ეს პოლიტიკური გადაწყვეტილებაა და არა ტექნიკური აღმოჩენა. ჩაწერეთ პასუხი თარიღით.

შეადარეთ ჩანაწერი განლაგებას

შეადარეთ შეგროვებული ოთხი მნიშვნელობა: სერტიფიკატის ნომერი, ბილდიდან მიღებული მოდულის ვერსია, მოქმედი საოპერაციო პირობები და მიმდინარე სტატუსი. ნებისმიერი შეუსაბამობა აღმოჩენაა და აღმოჩენა განლაგების ჩანაწერში უნდა იყოს და არა სლაიდში.

მტკიცებულება ბილდთან ერთად შეინახეთ, თარიღისა და შემმოწმებელი პირის ჩათვლით. ერთი საქაღალდე ერთ გამოშვებაზე საკმარისია.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

მტკიცება თავის საზღვრებშიც შეინარჩუნეთ. მოდულის ვალიდაცია არაფერს ამბობს VPN-ის პროტოკოლების დამუშავებაზე, მის ავტორიზაციის გადაწყვეტილებებზე ან ლოგირების პოლიტიკაზე. ეს კონკრეტული მტკიცებულებაა ერთი განსაზღვრული კრიპტოგრაფიული კომპონენტის შესახებ, და მას პროდუქტის ქულად მოპყრობა ის გზაა, რომლითაც შესაბამისობის საქმე აღწერს რაღაცას, რაც არავის განუთავსებია.