Проверете го CMVP сертификатот зад FIPS тврдењето на VPN

Страниците на добавувачите на кои пишува FIPS валидирано не се доказ што можете да го поднесете. Доказот е број на сертификат, име на модул, валидирана верзија и работните услови прикачени кон него, и тие мора да се совпаѓаат со градбата што ја распоредувате. NIST CMVP FAQ е јасен за разликата помеѓу производ што тврди компатибилност и модул што бил валидиран. Изведете ги четирите чекори подолу по ред и чувајте го записот со распоредувањето.

Чекор 1: земете го бројот на сертификатот, не значката

Побарајте од добавувачот бројот на CMVP сертификатот што го покрива криптографскиот модул во производот што имате намера да го извршите. Бројот на сертификат е конкретен, проверлив објект, додека значката е маркетинг. Ако одговорот опишува алгоритам наместо модул, одговорот одговорил на друго прашање. Побарајте го бројот уште еднаш наместо да прифатите PDF на значка. Записот зад бројот е она што ревизорот може да го следи.

Потоа пронајдете го тој број во официјалното пребарување на валидирани модули и прочитајте го записот, а не неговиот резиме. Записот ги именува добавувачот, модулот, валидираната верзија и статусот, и го поврзува документот за безбедносна политика што опишува како модулот треба да работи.

Запишете ги тие пет полиња, бидејќи следниот чекор ги споредува со градбата. Една колона во табела е доволна.

Чекор 2: усогласете ја верзијата на модулот со градбата

Верзијата на VPN клиентот и верзијата на вградениот модул ретко делат ист број, и тоа е нормално. Важно е дали верзијата на модулот во вашата градба се појавува во валидираниот запис. Ажурирањето може да го смени модулот без да го смени името на производот, што тивко го поместува распоредувањето надвор од валидираната конфигурација.

Прашајте која компонента го користи модулот и како се избира одобрениот режим во поддржаната конфигурација. Градба што може да работи во неодобрен режим не е ист доказ како градба конфигурирана за одобрениот.

Читајте од локалната градба, за да може споредбата да го користи артефактот, а не страницата за преземање. Командите подолу печатат точно тоа.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Кога модулот пријавува друга верзија од сертификатот, тврдењето се поместило и записот треба да се ажурира пред некој да потпише нешто.

Чекор 3: прочитајте ги работните услови

Сертификатот носи услови што ја опишуваат околината што ја покрива валидацијата. Тие услови можат да ја именуваат платформата, конфигурацијата, дозволените големини на клучеви и услугите што мора да бидат ограничени. Обична инсталација што ги игнорира е распоредување надвор од валидираната граница, дури и кога бинарниот е идентичен. Затоа документот за безбедносна политика е важен исто колку бројот на сертификатот.

Чувајте ги упатствата на добавувачот до сертификатот, бидејќи објаснуваат кои поставки го избираат одобрениот режим и кои го изнесуваат производот надвор од него.

Ако условите не можат да се исполнат во вашата околина, чесната изјава е дека ова распоредување е надвор од валидираната конфигурација. Именувањето на условот што не може да се исполни ја претвора таа изјава во нешто што тимот може да го поправи или прифати.

Чекор 4: потврдете го статусот денес

Записот на CMVP носи статус, а статусот не е постојан. NIST FAQ ги опишува датумите на транзиција на FIPS 140-2 во 2026, по што на активната листа остануваат само валидациите FIPS 140-3. Сертификат што бил активен кога набавката била одобрена денес може да биде историски.

Историски и отповикан се различни состојби, и секоја има свое значење за набавката. Проверете го живиот запис, а не слика од екранот од папката на проектот, и забележете го датумот кога сте провериле.

Потоа прашајте го сопственикот на усогласеноста или набавката кој статус го прифаќа нивното барање, бидејќи тоа е политичка одлука, а не техничко наоѓање. Запишете го одговорот со датум.

Проверете го записот наспроти распоредувањето

Споредете ги четирите собрани вредности: бројот на сертификатот, верзијата на модулот од градбата, работните услови во сила и тековниот статус. Секое несовпаѓање е наоѓање, а наоѓањето припаѓа во записот за распоредување, а не во слајд.

Чувајте го доказот со градбата, вклучувајќи го датумот и лицето што го проверило. Еден директориум по издание е доволен.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Држете го тврдењето и во неговите граници. Валидацијата на модулот не кажува ништо за справувањето со протоколот на VPN, неговите одлуки за авторизација или неговата политика за логирање. Тоа е конкретен доказ за една дефинирана криптографска компонента, а третирањето како оценка на производот е начинот на кој датотеката за усогласеност завршува опишувајќи нешто што никој не го распоредил.