VPN의 FIPS 주장 뒤에 있는 CMVP 인증서를 확인하세요

FIPS 검증되었다고 적힌 공급업체 페이지는 제출할 수 있는 증거가 아닙니다. 증거는 인증서 번호, 모듈 이름, 검증된 버전, 그리고 여기에 붙은 운영 조건이며, 이들은 배포하는 빌드와 일치해야 합니다. NIST CMVP FAQ는 호환성을 주장하는 제품과 검증된 모듈의 차이를 분명히 말합니다. 아래 네 단계를 순서대로 수행하고 그 기록을 배포와 함께 보관하세요.

1단계: 배지가 아니라 인증서 번호를 받으세요

실행하려는 제품의 암호 모듈을 포괄하는 CMVP 인증서 번호를 공급업체에 요청하세요. 인증서 번호는 구체적이고 확인 가능한 대상인 반면, 배지는 마케팅입니다. 답변이 모듈 대신 알고리즘을 설명한다면, 그 답변은 다른 질문에 답한 것입니다. 배지 PDF를 받아들이지 말고 번호를 한 번 더 요구하세요. 번호 뒤의 기록이 감사자가 따라갈 수 있는 것입니다.

그런 다음 공식 검증 모듈 검색에서 그 번호를 찾아 요약본이 아니라 기록 자체를 읽으세요. 기록에는 공급업체, 모듈, 검증된 버전, 상태가 명시되고, 모듈이 어떻게 동작해야 하는지 설명하는 보안 정책 문서로 연결됩니다.

이 다섯 개 필드를 적어 두세요. 다음 단계에서 빌드와 비교하기 때문입니다. 스프레드시트 한 열이면 충분합니다.

2단계: 모듈 버전을 빌드와 맞추세요

VPN 클라이언트 버전과 내장 모듈 버전이 같은 번호를 쓰는 경우는 드물고, 그것이 정상입니다. 중요한 것은 빌드 안의 모듈 버전이 검증 기록에 나타나는지입니다. 업데이트는 제품 이름을 바꾸지 않고 모듈을 바꿀 수 있으며, 그러면 배포가 조용히 검증된 구성 밖으로 이동합니다.

어떤 구성 요소가 모듈을 사용하는지, 지원되는 구성에서 승인 모드가 어떻게 선택되는지 물으세요. 승인되지 않은 모드로도 실행될 수 있는 빌드는 승인 모드에 맞게 구성된 빌드와 같은 증거가 아닙니다.

로컬 빌드에서 읽으세요. 그래야 비교가 다운로드 페이지가 아니라 산출물을 사용합니다. 아래 명령이 바로 그것을 출력합니다.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

모듈이 인증서와 다른 버전을 보고하면 주장이 어긋난 것이며, 누구든 서명하기 전에 기록을 갱신해야 합니다.

3단계: 운영 조건을 읽으세요

인증서에는 검증이 포괄하는 환경을 설명하는 조건이 붙습니다. 그 조건은 플랫폼, 구성, 허용되는 키 크기, 제한해야 하는 서비스를 지정할 수 있습니다. 이를 무시한 평범한 설치본은 바이너리가 동일하더라도 검증 경계 밖의 배포입니다. 그래서 보안 정책 문서가 인증서 번호만큼 중요한 것입니다.

공급업체 안내를 인증서 옆에 두세요. 어떤 설정이 승인 모드를 선택하고 어떤 설정이 제품을 그 밖으로 내보내는지 설명하기 때문입니다.

환경에서 조건을 충족할 수 없다면, 정직한 서술은 이 배포가 검증된 구성 밖에 있다는 것입니다. 충족할 수 없는 조건을 지목하면 그 서술은 팀이 고치거나 받아들일 수 있는 것이 됩니다.

4단계: 오늘의 상태를 확인하세요

CMVP 기록에는 상태가 있고, 상태는 영구적이지 않습니다. NIST FAQ는 2026년의 FIPS 140-2 전환 일정을 설명하며, 그 후에는 FIPS 140-3 검증만 활성 목록에 남습니다. 구매가 승인될 때 활성이던 인증서가 오늘은 역사적 상태일 수 있습니다.

역사적과 철회됨은 다른 상태이며, 조달에서 각기 다른 의미를 가집니다. 프로젝트 폴더의 스크린샷이 아니라 실시간 기록을 확인하고, 확인한 날짜를 적으세요.

그다음 컴플라이언스 또는 조달 책임자에게 그들의 요구가 어느 상태를 받아들이는지 물으세요. 기술적 발견이 아니라 정책 결정이기 때문입니다. 답변을 날짜와 함께 기록하세요.

기록을 배포와 대조해 확인하세요

수집한 네 가지 값을 비교하세요: 인증서 번호, 빌드에서 나온 모듈 버전, 현재 시행 중인 운영 조건, 현재 상태. 어떤 불일치든 발견 사항이며, 그 발견은 슬라이드가 아니라 배포 기록에 들어가야 합니다.

증거를 빌드와 함께 보관하세요. 확인한 날짜와 확인한 사람을 포함해서요. 릴리스마다 디렉터리 하나면 충분합니다.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

주장을 그 경계 안에 두세요. 모듈 검증은 VPN의 프로토콜 처리, 권한 부여 결정, 로깅 정책에 대해 아무것도 말하지 않습니다. 하나의 정의된 암호 구성 요소에 대한 구체적 증거이며, 이를 제품 점수처럼 다루면 컴플라이언스 파일이 아무도 배포하지 않은 것을 설명하게 됩니다.