Patikrinkite CMVP sertifikatą, slypintį už VPN FIPS teiginio

Tiekėjų puslapiai, kuriuose teigiama, kad FIPS validuota, nėra įrodymas, kurį galite įtraukti į bylą. Įrodymas yra sertifikato numeris, modulio pavadinimas, validuota versija ir prie jo pridedamos veikimo sąlygos, ir jos turi atitikti diegiamą versiją. NIST CMVP DUK aiškiai nurodo skirtumą tarp produkto, kuris teigia suderinamumą, ir modulio, kuris buvo validuotas. Atlikite toliau pateiktus keturis žingsnius iš eilės ir saugokite įrašą kartu su diegimu.

1 žingsnis: gaukite sertifikato numerį, o ne ženklelį

Paprašykite tiekėjo CMVP sertifikato numerio, kuris apima kriptografinį modulį produkte, kurį ketinate naudoti. Sertifikato numeris yra konkretus, patikrinamas objektas, o ženklelis yra rinkodara. Jei atsakyme aprašomas algoritmas, o ne modulis, atsakymas atsakė į kitą klausimą. Paprašykite numerio dar kartą, o ne priimkite ženklelio PDF failą. Už numerio slypintis įrašas yra tai, ką auditorius gali atsekti.

Tada suraskite tą numerį oficialioje validuotų modulių paieškoje ir skaitykite įrašą, o ne jo santrauką. Įraše nurodomas tiekėjas, modulis, validuota versija ir būsena, ir jis susieja saugumo politikos dokumentą, kuriame aprašoma, kaip modulis turi veikti.

Užsirašykite tuos penkis laukus, nes kitas žingsnis juos lygins su diegiama versija. Pakanka vieno skaičiuoklės stulpelio.

2 žingsnis: suderinkite modulio versiją su diegiama versija

VPN kliento versija ir įterpto modulio versija retai turi tą patį numerį, ir tai normalu. Svarbu tai, ar modulio versija jūsų versijoje yra validuotame įraše. Atnaujinimas gali pakeisti modulį nekeisdamas produkto pavadinimo, ir tai tyliai išstumia diegimą už validuotos konfigūracijos ribų.

Paklauskite, kuris komponentas naudoja modulį ir kaip palaikomoje konfigūracijoje parenkamas patvirtintas režimas. Versija, kuri gali veikti nepatvirtintu režimu, nėra tas pats įrodymas kaip versija, sukonfigūruota patvirtintam režimui.

Skaitykite vietinę versiją, kad palyginimas naudotų artefaktą, o ne atsisiuntimo puslapį. Toliau pateiktos komandos išspausdina būtent tai.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Kai modulis praneša kitą versiją nei sertifikate, teiginys pasislinko ir įrašą reikia atnaujinti prieš ką nors pasirašant.

3 žingsnis: perskaitykite veikimo sąlygas

Sertifikatas turi sąlygas, kurios apibūdina aplinką, kurią apima validavimas. Tos sąlygos gali nurodyti platformą, konfigūraciją, leidžiamus raktų dydžius ir paslaugas, kurios turi būti apribotos. Įprasta instaliacija, kuri jų nepaiso, yra diegimas už validuotos ribos, net kai dvejetainis failas identiškas. Štai kodėl saugumo politikos dokumentas toks pat svarbus kaip sertifikato numeris.

Laikykite tiekėjo rekomendacijas šalia sertifikato, nes jos paaiškina, kurie nustatymai parenka patvirtintą režimą, o kurie išveda produktą už jo ribų.

Jei sąlygų jūsų aplinkoje įvykdyti negalima, sąžiningas teiginys yra toks: šis diegimas yra už validuotos konfigūracijos ribų. Neįvykdomos sąlygos įvardijimas paverčia tą teiginį kažkuo, ką komanda gali ištaisyti arba priimti.

4 žingsnis: patvirtinkite šiandienos būseną

CMVP įrašas turi būseną, ir būsena nėra nuolatinė. NIST DUK aprašo FIPS 140-2 perėjimo datas 2026 metais, po kurių aktyviame sąraše lieka tik FIPS 140-3 validavimai. Sertifikatas, kuris buvo aktyvus, kai pirkimas buvo patvirtintas, šiandien gali būti istorinis.

Istorinis ir atšauktas yra skirtingos būsenos, ir kiekviena turi savo reikšmę pirkimams. Tikrinkite tiesioginį įrašą, o ne ekrano kopiją iš projekto aplanko, ir pažymėkite datą, kurią tikrinote.

Tada paklauskite atitikties arba pirkimų savininko, kurią būseną priima jų reikalavimas, nes tai politinis sprendimas, o ne techninė išvada. Užrašykite atsakymą su data.

Patikrinkite įrašą pagal diegimą

Palyginkite keturias surinktas vertes: sertifikato numerį, modulio versiją iš diegiamos versijos, galiojančias veikimo sąlygas ir dabartinę būseną. Bet koks neatitikimas yra radinys, ir radinys priklauso diegimo įrašui, o ne skaidrei.

Saugokite įrodymus kartu su versija, įskaitant datą ir asmenį, kuris juos tikrino. Vieno katalogo kiekvienam leidimui pakanka.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Laikykite teiginį ir jo ribose. Modulio validavimas nieko nesako apie VPN protokolo apdorojimą, autorizacijos sprendimus ar registravimo politiką. Tai konkretus įrodymas apie vieną apibrėžtą kriptografinį komponentą, o traktavimas kaip produkto balo yra būdas, kuriuo atitikties byla ima aprašinėti tai, ko niekas nediegė.