Pārbaudiet CMVP sertifikātu aiz VPN FIPS apgalvojuma

Pārdevēju lapas, kurās teikts, ka FIPS ir validēts, nav pierādījums, ko varat iesniegt lietā. Pierādījums ir sertifikāta numurs, moduļa nosaukums, validētā versija un tam pievienotie darbības nosacījumi, un tiem jāatbilst būvējumam, ko izvietojat. NIST CMVP BUJ skaidri norāda atšķirību starp produktu, kas apgalvo saderību, un moduli, kas tika validēts. Veiciet četrus tālāk minētos soļus pēc kārtas un glabājiet ierakstu kopā ar izvietojumu.

1. solis: iegūstiet sertifikāta numuru, nevis emblēmu

Palūdziet pārdevējam CMVP sertifikāta numuru, kas aptver kriptogrāfijas moduli produktā, kuru plānojat darbināt. Sertifikāta numurs ir konkrēts, pārbaudāms objekts, savukārt emblēma ir mārketings. Ja atbilde apraksta algoritmu, nevis moduli, atbilde ir atbildējusi uz citu jautājumu. Palūdziet numuru vēlreiz, nevis pieņemiet emblēmas PDF. Ieraksts aiz numura ir tas, kam auditors var izsekot.

Pēc tam sameklējiet šo numuru oficiālajā validēto moduļu meklēšanā un lasiet ierakstu, nevis tā kopsavilkumu. Ieraksts nosauc pārdevēju, moduli, validēto versiju un statusu, un tas saista drošības politikas dokumentu, kas apraksta, kā modulim jādarbojas.

Pierakstiet šos piecus laukus, jo nākamais solis tos salīdzinās ar būvējumu. Pietiek ar vienu izklājlapas kolonnu.

2. solis: saskaņojiet moduļa versiju ar būvējumu

VPN klienta versija un iegultā moduļa versija reti dala vienu numuru, un tas ir normāli. Svarīgi ir tas, vai moduļa versija jūsu būvējumā parādās validētajā ierakstā. Atjauninājums var mainīt moduli, nemainot produkta nosaukumu, un tas klusi pārvieto izvietojumu ārpus validētās konfigurācijas.

Jautājiet, kura komponente izmanto moduli un kā atbalstītajā konfigurācijā tiek izvēlēts apstiprinātais režīms. Būvējums, kas var darboties neapstiprinātā režīmā, nav tāds pats pierādījums kā būvējums, kas konfigurēts apstiprinātajam.

Lasiet vietējo būvējumu, lai salīdzinājums izmantotu artefaktu, nevis lejupielādes lapu. Tālāk minētās komandas izdrukā tieši to.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Kad modulis ziņo citu versiju nekā sertifikātā, apgalvojums ir noslīdējis un ieraksts jāatjaunina, pirms kāds kaut ko paraksta.

3. solis: izlasiet darbības nosacījumus

Sertifikāts satur nosacījumus, kas apraksta vidi, ko aptver validācija. Šie nosacījumi var nosaukt platformu, konfigurāciju, atļautos atslēgu izmērus un pakalpojumus, kas jāierobežo. Parasta instalācija, kas tos ignorē, ir izvietojums ārpus validētās robežas, pat ja binārais kods ir identisks. Tāpēc drošības politikas dokuments ir tikpat svarīgs kā sertifikāta numurs.

Turiet pārdevēja norādes blakus sertifikātam, jo tās izskaidro, kuri iestatījumi izvēlas apstiprināto režīmu un kuri izved produktu ārpus tā.

Ja nosacījumus jūsu vidē nevar izpildīt, godīgais apgalvojums ir tāds, ka šis izvietojums atrodas ārpus validētās konfigurācijas. Neizpildāmā nosacījuma nosaukšana pārvērš šo apgalvojumu kaut kā tādā, ko komanda var salabot vai pieņemt.

4. solis: apstipriniet statusu šodien

CMVP ierakstam ir statuss, un statuss nav pastāvīgs. NIST BUJ apraksta FIPS 140-2 pārejas datumus 2026. gadā, pēc kuriem aktīvajā sarakstā paliek tikai FIPS 140-3 validācijas. Sertifikāts, kas bija aktīvs, kad pirkums tika apstiprināts, šodien var būt vēsturisks.

Vēsturisks un atsaukts ir dažādi stāvokļi, un katram ir sava nozīme iepirkumā. Pārbaudiet tiešo ierakstu, nevis ekrānuzņēmumu no projekta mapes, un pierakstiet datumu, kad pārbaudījāt.

Pēc tam jautājiet atbilstības vai iepirkuma īpašniekam, kuru statusu viņu prasība pieņem, jo tas ir politikas lēmums, nevis tehnisks konstatējums. Ierakstiet atbildi ar datumu.

Pārbaudiet ierakstu pret izvietojumu

Salīdziniet četras savāktās vērtības: sertifikāta numuru, moduļa versiju no būvējuma, spēkā esošos darbības nosacījumus un pašreizējo statusu. Jebkura neatbilstība ir konstatējums, un konstatējumam jābūt izvietojuma ierakstā, nevis slaidā.

Glabājiet pierādījumus kopā ar būvējumu, iekļaujot datumu un personu, kas tos pārbaudīja. Ar vienu direktoriju katram laidienam pietiek.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Turiet apgalvojumu arī tā robežās. Moduļa validācija neko nepasaka par VPN protokola apstrādi, tā autorizācijas lēmumiem vai žurnālošanas politiku. Tie ir konkrēti pierādījumi par vienu definētu kriptogrāfijas komponenti, un attieksme pret to kā produkta vērtējumu ir veids, kā atbilstības fails sāk aprakstīt kaut ko, ko neviens neizvietoja.